CVE-2026-52217

VTEX Commerce PlatformのCheckoutサービスにおけるクロステナントおよびクロスユーザー認可の欠陥（IDOR / BOLA）

協調開示に関する通知

完全な技術詳細および実証コードは、研究者とVTEXがVTEXの公開セキュリティポリシーに基づく協調開示を完了するまで、このリポジトリには公開されていません。これらは、以下のプライベートチャネルを通じてのリクエストに応じて、ベンダー、および割り当てCNAまたはMITREが検証のために入手できます。完全なレポートは、相互に合意された開示期間の後に公開されます。

• VTEXセキュリティチャネル: [email protected]
• VTEX開示ポリシー: https://www.vtex.com/.well-known/security-disclosure-policy.txt
• VTEX security.txt: https://www.vtex.com/.well-known/security.txt

概要

CheckoutのOrderFormオブジェクトはorderFormIdで識別されますが、VTEXアカウント（テナント）やそれを所有する認証済みユーザーにバインドされていません。そのため、有効なorderFormIdを提示したリクエストは、セッションの所有権チェックなしに、アカウント間およびユーザー間でそのOrderFormを読み取りおよび変更できます。

影響

被害者のorderFormIdを入手した攻撃者は以下を実行できます：

• 被害者のチェックアウトPII（氏名、メールアドレス、政府発行書類（CPF / CNPJ）、電話番号、配送先住所）を読み取る。
• 配送およびプロファイルの添付情報など、チェックアウトデータを上書きし、支払済み注文の配送先を変更できる。
• 上記をテナント間および同一ストアの異なるユーザー間で実行できる。

orderFormIdは128ビットの不透明なトークンであり列挙不可能なため、これは有効な識別子を取得することで発現する認可の欠陥であり、ブルートフォースの問題ではありません。

修復策

各OrderFormをその所有者テナントに、認証済みカートの場合はその所有者ユーザーにバインドします。テナントまたはユーザーがOrderFormの所有者と一致しないセッションからの読み取りまたは書き込みを拒否し、認証ユーザーが所有するOrderFormへの匿名アクセスを拒否します。

検証（割り当てCNA / MITRE）

完全な再現手順および動作する実証コードは、上記ベンダーチャネルを通じてリクエストに応じて入手可能です。実証コードは、研究者が所有するテストアカウントに対してのみ、合成データを使用して実行されました。問題に対処している間、公開記録から除外することで協調開示が維持されます。

タイムライン

• 2026-05-11: MITRE経由でCVE IDをリクエスト; CVE-2026-52217が予約される。
• 2026-07-09: ベンダーの要請により、公開アドバイザリを本協調開示リファレンスに縮小; VTEXとの調整を進行中。

クレジット

Theo Cia、Guardsi。