CVE-2026-62989
Shopper: غياب تفويض حذف المتغيّر يسمح بإجراءات تدميرية فردية وجماعية
- تم النشر
- 30/10/2026
- محدث
- 30/10/2026
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 29/08/2026
CVSS الأساسي
cvelist · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:Hملخص
Shopper هو لوحة إدارة للتجارة الإلكترونية بدون واجهة أمامية (Headless). قبل الإصدار 2.10.0، كان مكوّن Variants Livewire في `packages/admin/src/Livewire/Components/Products/Form/Variants.php` يعرّض `DeleteAction` و`DeleteBulkAction` دون تفويض من جانب الخادم. يمكن لمستخدم موظف مُصادَق عليه يمتلك صلاحية `edit_products` الوصول إلى `/shopper/products/{id}/edit` والحصول على حالة المكوّن الموقّعة حتى دون امتلاك `delete_product_variants`. بعد ذلك تقوم مسارات `callTableAction` و`callTableBulkAction` بحذف متغيّر واحد أو عدة متغيّرات نهائيًا دون التحقق من تلك الصلاحية المخصّصة. بالنسبة للمنتجات ذات المتغيّرات، قد يؤدي هذا إلى تدمير الكتالوج القابل للبيع وتعطيل صفحات المنتجات في المتجر الأمامي وسلة التسوق وإتمام الطلب. تم إصلاح هذه المشكلة في الإصدار 2.10.0.
المصادر
PoCs وتقارير عن ثغرات CVE التي أبلغت عنها (إفصاح منسق; المنشورة والمصححة فقط)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.