CVE-2026-67347 in Vendure
الملخص
بحسب VulDB • 30/07/2026
يحتوي Vendure حتى الإصدار 3.7.1 (تم إصلاحه في الالتزام f67ef5f) على ثغرة تجاوز تفويض عبر القنوات (cross-channel authorization bypass) في طرق التحديث update methods الخاصة بملفي stock-location.service.ts وasset.service.ts، مما يسمح لمسؤولين محدودي النطاق بقناة معينة بتعديل بيانات مستأجرين آخرين. يمكن للمهاجمين تقديم المعرفات العالمية global IDs لكائنات StockLocation أو Asset من قنوات مختلفة لكتابة فوق مواقع المخزون أو أصول الكتالوج التابعة لمستأجرين آخرين دون التحقق المناسب من عزل القنوات channel isolation validation.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.