CVE-2026-52217

VTEX Commerce Platform 的 Checkout 服务中存在跨租户、跨用户的授权缺陷（IDOR / BOLA）。

协调披露公告

在研究人员与 VTEX 按照 VTEX 已发布的安全策略完成协调披露之前，本仓库不会发布完整的技术细节和概念验证。可通过下方的私密渠道应要求提供给厂商，以及负责分配的 CNA 或 MITRE 以供验证。完整报告将在双方商定的披露窗口结束后发布。

• VTEX 安全渠道：[email protected]
• VTEX 披露政策：https://www.vtex.com/.well-known/security-disclosure-policy.txt
• VTEX security.txt：https://www.vtex.com/.well-known/security.txt

摘要

Checkout 的 OrderForm 对象通过 orderFormId 进行寻址，但该 ID 并未绑定到拥有它的 VTEX 账户（租户）或已认证用户。因此，携带有效 orderFormId 的请求可以在跨账户、跨用户的边界上读取和修改该 OrderForm，会话无需通过任何所有权检查。

影响

获得受害者 orderFormId 的攻击者可以：

• 读取受害者在结账时提供的个人身份信息（PII）：姓名、电子邮件、政府证件（CPF / CNPJ）、电话和收货地址。
• 覆盖结账数据（如配送与个人资料附件），从而可以将已支付订单的配送重定向到其他地址。
• 在不同租户之间以及同一商店的不同用户之间执行上述操作。

orderFormId 是一个 128 位不透明令牌，无法枚举，因此这是一个以获得有效标识符为前提的授权缺陷，而非暴力破解问题。

修复方案

将每个 OrderForm 绑定到其所属租户；对于已认证的购物车，再绑定到其所属用户。拒绝来自租户或用户与 OrderForm 所有者不匹配的会话的任何读写操作，并拒绝匿名访问属于已认证用户的 OrderForm。

验证（分配 CNA / MITRE）

完整的复现步骤和可用的概念验证可通过上述厂商渠道应要求提供。概念验证仅针对研究人员所有的测试账户执行，并使用合成数据。在问题处理期间不将其纳入公开记录，以维护协调披露流程。

时间线

• 2026-05-11：通过 MITRE 申请 CVE 编号；CVE-2026-52217 已保留。
• 2026-07-09：应厂商要求，公开通告缩减为本协调披露参考；与 VTEX 的协调正在进行中。

致谢

Theo Cia, Guardsi.