CVE-2026-2347: IDOR no Website de E-Commerce da Akilli Commerce

Visão geral

A CVE-2026-2347 descreve um bypass de autorização por meio de chave controlada pelo usuário, padrão comumente classificado como referência direta insegura a objeto (IDOR), no produto E-Commerce Website da Akilli Commerce Software Technologies Ltd. Co. O registro associa a falha à CWE-639 e afirma que ela permite sequestro de sessão. O registro foi publicado em 14/05/2026 e seu status de fonte consta como Deferred.

Impacto

O registro afirma que a vulnerabilidade permite sequestro de sessão.
A pontuação base CVSS 3.1 é 9.8 (crítica), e ambos os provedores listados informam o mesmo valor.
A avaliação SSVC do registro classifica o impacto técnico como total e a falha como automatizável.

Produtos e versões afetados

Produto: Akilli Commerce Software Technologies Ltd. Co. E-Commerce Website.
Faixa afetada no registro: versões anteriores à 4.5.001.
O registro não informa nenhuma versão corrigida. O limite de 4.5.001 é a única referência de versão fornecida.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto não é possível afirmar exploração ativa confirmada a partir desses dados. Nenhuma exploração confirmada aparece nas fontes consultadas. O campo de exploração SSVC está registrado como none. A probabilidade EPSS é 0,00426, com percentil de 0,35114.

Correção e mitigação

Identifique todas as instalações do produto E-Commerce Website e compare suas versões com o limite afetado de 4.5.001.
Entre em contato com o fornecedor ou consulte o aviso oficial do CERT nacional turco para confirmar a versão corretiva e sua disponibilidade.
Até que a correção seja aplicada, restrinja o acesso à aplicação na medida do possível e revise como os identificadores de objetos são validados no servidor em cada requisição.
Invalide as sessões de usuário existentes após aplicar as mudanças, como precaução contra o uso indevido de sessões.

Orientação para detecção

Analise logs web e de aplicação em busca de requisições que acessem registros pertencentes a outras contas, especialmente sequências de alteração de identificadores.
Monitore reutilização incomum de sessões, como o mesmo token aparecendo em múltiplas localizações ou dispositivos.
Correlacione eventos de autenticação com padrões de acesso a objetos para destacar anomalias.

Limitações das informações disponíveis

O registro não descreve os endpoints, parâmetros ou condições específicas envolvidos e não lista uma versão corrigida. A pontuação CVSS é fornecida por duas fontes com valores idênticos. A data do EPSS no registro é posterior à data de publicação e deve ser verificada na fonte antes de ser usada. Nenhum aviso do fornecedor foi incluído no registro além da referência governamental.

Perguntas frequentes

O que é a CVE-2026-2347?

É um bypass de autorização por meio de chave controlada pelo usuário (IDOR) no E-Commerce Website da Akilli Commerce, que afeta versões anteriores à 4.5.001. O registro afirma que ela permite sequestro de sessão.

Qual é a gravidade desta vulnerabilidade?

O registro informa pontuação base CVSS 3.1 de 9.8, classificada como crítica. A avaliação SSVC mostra impacto técnico total e falha automatizável.

Esta vulnerabilidade é conhecida por ser explorada?

A CVE não aparece no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.