Veille sécuritéBackend & données
P4Moyenne
La fonction de paiement Alipay de mall est affectée par une erreur de logique métier exploitable à distance via `total_amount`. La fiche NVD identifie un correctif par commit, mais ne fournit pas de version corrigée ; elle indique également que l’exploit est public.
Java
IdentifiantCVE-2026-108784
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-108784
Analyse technique
La manipulation de l’argument `total_amount` dans `AlipayServiceImpl.pay` entraîne une erreur de logique métier. Correctif indiqué : commit `dcaa93b3150352e5044708d7211b5bed0af4509f`.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-12T02:16:56.390Z, dans la période demandée ; l’événement retenu est la publication de la vulnérabilité et de l’information de correctif.
ImpactUn attaquant distant peut provoquer une erreur de logique métier dans le traitement des paiements.
Versions affectéesmacrozheng mall jusqu’à 1.0.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.5
EPSS0,57% · percentile 45,6%
Publication2026-10-12T02:16:56.390Z
Mise à jour2026-10-12T02:16:56.390Z
Action recommandée
Appliquer le correctif identifié par le commit `dcaa93b3150352e5044708d7211b5bed0af4509f`.
Sources
Priorisation DFS : P4 · 1 source(s).