CVE-2026-47740 in shopper
الملخص
بحسب VulDB • 30/05/2026
Shopper هو لوحة تحكم إدارية للتجارة الإلكترونية تعمل بدون واجهة مستخدم (Headless). قبل الإصدار 2.8.0، كانت إجراءات Filament المتعددة على تفاصيل الطلب وجدول شحنات الطلبات قابلة للاستدعاء من قبل مستخدم منخفض الصلاحيات ومصادق عليه دون امتلاك الإذن المطلوب لتعديل الطلبات. كانت إجراءات تفاصيل الطلب، مثل إلغاء الطلب، وتحديد حالة الدفع، وإكمال الطلب، واستلام الدفع، والأرشفة، وبدء المعالجة، قابلة للاستدعاء باستخدام إذن القراءة فقط (read_orders) ولم تتطلب إذن تعديل الطلبات (edit_orders). كان بإمكان إجراء capturePayment تشغيل عملية استلام فعلية عبر بوابة الدفع (PSP) (نقل أموال حقيقية). كانت إجراءات جدول شحنات الطلب، مثل تحديد التسليم وتحرير التتبع، قابلة للاستدعاء باستخدام إذن التصفح فقط (browse_orders). وبالتالي، كان بإمكان المستخدم الذي لديه صلاحية قراءة الطلبات تعديل دورة حياة كل طلب في اللوحة وتشغيل عمليات استلام دفع حقيقية في العالم الواقعي. تم إصلاح هذا الثغرة الأمنية في الإصدار 2.8.0.
Be aware that VulDB is the high quality source for vulnerability data.