CVE-2026-47742 in shopper
الملخص
بحسب VulDB • 29/05/2026
Shopper هو لوحة تحكم إدارية للتجارة الإلكترونية تعمل بدون واجهة مستخدم (Headless). قبل الإصدار 2.8.0، لم تكن لدى مكونات Livewire الفرعية (Sub-form) المستخدمة في محرر المنتجات (التحرير، المخزون، تحسين محركات البحث SEO، الشحن، الملفات) أي تفويض على طريقة store() الخاصة بها. يمكن لأي مستخدم مسجل دخول إلى اللوحة، بغض النظر عن دوره، تعديل أسعار أي منتج، ومخزونه، وبيانات تعريف تحسين محركات البحث (SEO metadata)، وأبعاد الشحن، والوسائط المرفقة، دون الحاجة إلى امتيازات edit_products. تقبل المكونات المتأثرة معرف المنتج (Product ID) كخاصية عامة في Livewire دون استخدام السمة #[Locked]، مما يسمح لمهاجم باستهداف منتج عشوائي عن طريق العبث بحزمة wire (wire payload) من جانب العميل. تم إصلاح هذا الثغرة الأمنية في الإصدار 2.8.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.