CVE-2026-62989
Shopper: variant-delete प्राधिकरण अनुपस्थित होने पर विनाशकारी एकल और बल्क क्रियाओं की अनुमति मिलती है
- प्रकाशित
- 30 अक्टू॰ 2026
- अद्यतन
- 30 अक्टू॰ 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 29 अग॰ 2026
प्राथमिक सीवीएसएस
cvelist · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:Hसारांश
Shopper एक हेडलेस ई-कॉमर्स एडमिन पैनल है। 2.10.0 से पहले, `packages/admin/src/Livewire/Components/Products/Form/Variants.php` में Variants Livewire कंपोनेंट `DeleteAction` और `DeleteBulkAction` को सर्वर-साइड प्राधिकरण के बिना उजागर करता है। `edit_products` अनुमति वाला एक प्रमाणित स्टाफ उपयोगकर्ता `/shopper/products/{id}/edit` तक पहुँच सकता है और `delete_product_variants` के बिना भी साइन किया गया कंपोनेंट स्टेट प्राप्त कर सकता है। इसके बाद `callTableAction` और `callTableBulkAction` पथ उस समर्पित अनुमति की जाँच किए बिना व्यक्तिगत या एकाधिक वेरिएंट्स को स्थायी रूप से हटा देते हैं। वेरिएंट उत्पादों के लिए, यह बिक्री योग्य कैटलॉग को नष्ट कर सकता है और स्टोरफ्रंट उत्पाद पृष्ठों, कार्ट और चेकआउट को बाधित कर सकता है। यह समस्या संस्करण 2.10.0 में ठीक की गई है।
स्रोत
PoCs और मेरे द्वारा रिपोर्ट किए गए CVEs के लिए विवरण (समन्वित प्रकटीकरण; केवल प्रकाशित + पैच किए गए)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।