یک نقص امنیتی در نرم‌افزار PickMall Lilishop در نسخه‌های 4.2.4 و قدیمی‌تر شناسایی شده است که به دلیل نقص در مکانیزم‌های کنترل دسترسی (Authorization)، امکان دسترسی غیرمجاز را فراهم می‌کند.
جزئیات فنی آسیب‌پذیری
این آسیب‌پذیری که با شناسه CVE-2026-105571 ثبت شده است، در بخش Mobile Binding و به‌طور مشخص در فایل /buyer/passport/member/bindMobile رخ می‌دهد. یک عامل تهدید (Threat Actor) می‌تواند با دستکاری آرگومان Username، فرآیند اتصال شماره موبایل را تغییر داده و بررسی‌های مربوط به مالکیت حساب را دور بزند (Bypass).
تحلیل اثرات و سطح دسترسی
- نوع ضعف: Improper Authorization (CWE-285)
- سطح دسترسی مورد نیاز: کاربر با دسترسی پایین (Low-privileged account) در سطح خریدار (Buyer).
- پیامد: امکان دسترسی به اطلاعات یا تغییر تنظیمات مربوط به شماره موبایل کاربران دیگر.
- پیچیدگی حمله: پایین (Low Complexity) و قابل اجرا به‌صورت از راه دور (Remote).
وضعیت فعلی و پاسخ سازنده
در حال حاضر کدهای اکسپلویت (Exploit) این آسیب‌پذیری به‌صورت عمومی منتشر شده است، هرچند گزارش‌های تایید شده‌ای مبنی بر سوءاستفاده گسترده در محیط‌های عملیاتی (In the wild) وجود ندارد. گزارش‌ها حاکی از آن است که تیم توسعه پروژه با وجود اطلاع از این مشکل، هنوز پاسخ رسمی یا وصله‌ای (Patch) برای رفع آن ارائه نکرده است.
