CVE-2026-62989

总结

Shopper 是一个无头电子商务管理面板。在 2.10.0 之前，`packages/admin/src/Livewire/Components/Products/Form/Variants.php` 中的 Variants Livewire 组件暴露了 `DeleteAction` 和 `DeleteBulkAction`，但没有服务端授权。拥有 `edit_products` 权限的已认证员工用户可以访问 `/shopper/products/{id}/edit`，即使没有 `delete_product_variants` 权限，也能获取已签名的组件状态。随后，`callTableAction` 和 `callTableBulkAction` 路径会在未检查该专用权限的情况下永久删除单个或多个变体。对于变体产品，这可能破坏可售目录，并扰乱店面产品页面、购物车和结账流程。此问题已在 2.10.0 版本中修复。

来源

• security-researchPoC

  我报告的 CVE 的 PoC 与 write-ups（协同披露；仅已发布及已修复）