CVE-2026-32270 in Craft
الملخص
بحسب VulDB • 29/05/2026
Craft Commerce هو منصة تجارة إلكترونية لمنصة Craft CMS. في الإصدارات من 4.0.0 إلى 4.10.2 ومن 5.0.0 إلى 5.5.4، يكشف دالة `PaymentsController::actionPay` بعض بيانات الطلبات للمستخدمين غير المصادق عليهم عند توفير رقم طلب وفشل التحقق من البريد الإلكتروني أثناء عملية الدفع المجهولة. يتضمن استجابة الخطأ بتنسيق JSON كائن الطلب المُسلسل (order)، والذي يحتوي على بعض الحقول الحساسة مثل بريد العميل الإلكتروني، وعنوان الشحن، وعنوان الفوترة. تستدعي دالة `actionPay()` في تدفق الدفع الأمامي الطلبات بناءً على الرقم قبل أن يتم فرض المصادقة بشكل كامل. تم إصلاح هذه المشكلة في الإصدارات 4.11.0 و5.6.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.