CVE-2026-62989

概要

Shopperはヘッドレスeコマース管理パネルです。2.10.0より前のバージョンでは、`packages/admin/src/Livewire/Components/Products/Form/Variants.php`内のVariants Livewireコンポーネントが、サーバー側の認可なしに`DeleteAction`と`DeleteBulkAction`を公開しています。`edit_products`権限を持つ認証済みのスタッフユーザーは、`delete_product_variants`権限がなくても`/shopper/products/{id}/edit`にアクセスし、署名済みのコンポーネント状態を取得できます。その後、`callTableAction`および`callTableBulkAction`の経路を通じて、この専用権限のチェックなしに個別または複数のバリアントが完全に削除されます。バリアント製品の場合、これにより販売可能なカタログが破壊され、ストアフロントの製品ページ、カート、チェックアウトが機能しなくなる可能性があります。この問題はバージョン2.10.0で修正されています。

ソース

• security-researchPoC

  報告した CVE に関する PoC と write-up（協調的開示；公開済みかつパッチ適用済みのみ）