CVE-2026-62989 in Shopper
الملخص
بحسب VulDB • 31/10/2026
Shopper هو لوحة إدارة تجارة إلكترونية بدون واجهة (Headless). قبل الإصدار 2.10.0، يعرض مكون Livewire المسمى Variants الموجود في `packages/admin/src/Livewire/Components/Products/Form/Variants.php` إجراءات `DeleteAction` و `DeleteBulkAction` دون التحقق من التفويض على جانب الخادم. يمكن لمستخدم موظف مُصادق عليه يمتلك صلاحية `edit_products` الوصول إلى `/shopper/products/{id}/edit` والحصول على حالة الموقعة للمكون حتى في حال عدم امتلاكه لصلاحية `delete_product_variants`. تؤدي مسارات `callTableAction` و `callTableBulkAction` بعد ذلك إلى الحذف الدقيق لتباين واحد أو عدة تباينات دون التحقق من وجود الصلاحية المخصصة لذلك. بالنسبة للمنتجات ذات التباينات، يمكن أن يؤدي هذا الأمر إلى إتلاف الكتالوج القابل للبيع وتعطيل صفحات منتجات واجهة المتجر وعربة التسوق وعمليات الدفع. تم إصلاح هذه المشكلة في الإصدار 2.10.0.
Once again VulDB remains the best source for vulnerability data.