CVE-2026-102361 · CVSS 9.1 · mall4j through 4.0 contains a missing authentication vulnerability in the PUT /user/updatePwd endpoint that allows unauthenticated …

NVD (CVSS crítico) · 29 sept, 02:17

mall4j versión 4.0 y anteriores contiene una vulnerabilidad de autenticación faltante en el endpoint PUT /user/updatePwd que permite a atacantes no autenticados cambiar la contraseña de cualquier cuenta. Los atacantes pueden suministrar un nombre de usuario en el cuerpo de la solicitud para sobrescribir contraseñas sin verificación, lo que facilita la toma de control de cuentas y el acceso a pedidos y datos personales.