关键漏洞信息 漏洞概述 漏洞名称: Cron Job Unauthorized Access Vulnerability 项目: CRMeb Mall System (CRMeb商城系统) 供应商: CRMeb (https://www.crmeb.com) 项目仓库: https://github.com/crmeb/CRMEB.git 影响文件: - - 影响版本: v5.6.3及更早版本 (<= v5.6.3) 漏洞类型 CWE: CWE-862 (Missing Authorization) CVSS v3.1 分值: 9.8 (Critical) 发现日期 2025-01-12 描述 所有与Cron Job相关的端点缺乏身份验证和授权控制，任何攻击者可以在没有任何身份验证的情况下调用这些cron job端点，导致恶意订单取消、强制交货确认、分发系统中断和其他严重影响。 详细分析 1. 受影响端点 - GET - GET - GET - 其他与cron job相关的endpoint 2. 根本原因 - 配置问题： 文件中 的 参数使得认证中间件变为可选，允许无身份认证访问这些端点。 3. 改善对比 - 其他需认证的端点做了认证要求。 概念证明 展示多种攻击场景，包括恶意订单取消、强制交货确认等。 影响 1. 订单管理混乱 2. 分发系统中断 3. 资源消耗 4. 数据一致性问题 5. 合规风险 缓解措施 1. 立即修复建议：移除 参数或添加IP白名单中间件等。 2. 长期修复： - 代码审查 - 监控、日志记录 - 安全测试 验证修复 确认无身份认证的请求返回401状态码，只有合法授权请求才能访问。