CVE-2026-62989
Shopper : l'absence d'autorisation de suppression de variante permet des actions destructrices uniques et groupées
- Publié
- 30 oct. 2026
- Mise à jour
- 2 nov. 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 29 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:HFaible · 30 prochains jours
- Percentile
- 20,4 %
- Date du modèle
- 2 nov. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Shopper est un panneau d'administration e-commerce headless. Avant la version 2.10.0, le composant Livewire Variants dans `packages/admin/src/Livewire/Components/Products/Form/Variants.php` expose `DeleteAction` et `DeleteBulkAction` sans autorisation côté serveur. Un utilisateur authentifié du personnel disposant de `edit_products` peut accéder à `/shopper/products/{id}/edit` et obtenir l'état signé du composant même sans `delete_product_variants`. Les chemins `callTableAction` et `callTableBulkAction` suppriment alors définitivement une ou plusieurs variantes sans vérifier cette permission dédiée. Pour les produits à variantes, cela peut détruire le catalogue vendable et perturber les pages produit de la vitrine, le panier et le paiement. Ce problème est corrigé dans la version 2.10.0.
Sources
PoCs & write-ups pour les CVE que j'ai signalées (divulgation coordonnée ; publiées + corrigées uniquement)
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.