CVE-2026-62989
Shopper: отсутствие авторизации на удаление варианта допускает деструктивные одиночные и массовые действия
- Опубликовано
- 30 окт. 2026 г.
- Обновлено
- 30 окт. 2026 г.
- Назначение CNA
- GitHub_M
- Наблюдены доказательства
- 29 авг. 2026 г.
Первичный CVSS
cvelist · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:HНизкий · следующие 30 дней
- Процентиль
- 20,4 %
- Дата модели
- 31 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Shopper — это headless-панель администрирования электронной коммерции. До версии 2.10.0 компонент Livewire Variants в `packages/admin/src/Livewire/Components/Products/Form/Variants.php` предоставляет `DeleteAction` и `DeleteBulkAction` без серверной авторизации. Аутентифицированный сотрудник с разрешением `edit_products` может получить доступ к `/shopper/products/{id}/edit` и получить подписанное состояние компонента даже без разрешения `delete_product_variants`. Пути `callTableAction` и `callTableBulkAction` затем безвозвратно удаляют отдельные варианты или несколько вариантов, не проверяя это специальное разрешение. Для вариантных товаров это может уничтожить доступный для продажи каталог и нарушить работу страниц товаров витрины, корзины и оформления заказа. Эта проблема исправлена в версии 2.10.0.
Источники
PoC и разборы для CVE, о которых я сообщал (скоординированное раскрытие; только опубликованные и исправленные)
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.