CVE-2026-62989
Shopper: Fehlende Autorisierung zum Löschen von Varianten ermöglicht destruktive Einzel- und Massenaktionen
- Veröffentlicht
- 30.10.2026
- Aktualisiert
- 30.10.2026
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 29.08.2026
Primäres CVSS
cvelist · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:HZusammenfassung
Shopper ist ein Headless-E-Commerce-Admin-Panel. Vor Version 2.10.0 exponiert die Livewire-Komponente Variants in `packages/admin/src/Livewire/Components/Products/Form/Variants.php` `DeleteAction` und `DeleteBulkAction` ohne serverseitige Autorisierung. Ein authentifizierter Mitarbeiter mit `edit_products` kann auf `/shopper/products/{id}/edit` zugreifen und den signierten Komponentenzustand abrufen, selbst ohne `delete_product_variants`. Die Pfade `callTableAction` und `callTableBulkAction` löschen dann einzelne oder mehrere Varianten dauerhaft, ohne die dafür vorgesehene Berechtigung zu prüfen. Bei Variantenprodukten kann dies den verkaufsfähigen Katalog zerstören und die Produktseiten des Storefronts, den Warenkorb und den Checkout stören. Dieses Problem ist in Version 2.10.0 behoben.
Quellen
PoCs & Write-ups zu CVEs, die ich gemeldet habe (koordinierte Offenlegung; nur veröffentlichte und gepatchte)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.