CVE-2026-62989
Shopper: l'autorizzazione mancante per l'eliminazione delle varianti consente azioni distruttive singole e in blocco
- Pubblicato
- 30 ott 2026
- Aggiornato
- 30 ott 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 29 ago 2026
CVSS primario
cvelist · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:HRiepilogo
Shopper è un pannello di amministrazione e-commerce headless. Prima della versione 2.10.0, il componente Livewire Variants in `packages/admin/src/Livewire/Components/Products/Form/Variants.php` espone `DeleteAction` e `DeleteBulkAction` senza autorizzazione lato server. Un utente staff autenticato con `edit_products` può accedere a `/shopper/products/{id}/edit` e ottenere lo stato firmato del componente anche senza `delete_product_variants`. I percorsi `callTableAction` e `callTableBulkAction` eliminano quindi in modo permanente varianti singole o multiple senza verificare tale permesso dedicato. Per i prodotti con varianti, ciò può distruggere il catalogo vendibile e compromettere le pagine prodotto della vetrina, il carrello e il checkout. Questo problema è risolto nella versione 2.10.0.
Fonti
PoC e write-up per le CVE che ho segnalato (divulgazione coordinata; solo pubblicate e corrette)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.