CVE-2026-55795 in Commerce
Zusammenfassung
von VulDB • 14.09.2026
Craft Commerce ist eine E-Commerce-Plattform für Craft CMS. Von der Version 4.0.0 bis hin zu den Versionen 4.11.2 und 5.6.5 aktiviert die Klasse CartController in src/controllers/CartController.php ihren RateLimiter (Ratenbegrenzer) nur, wenn eine Anzahl an POST- oder GET-Parametern angegeben wird. Ein nicht authentifizierter Angreifer kann couponCode-Werte für den sessionbasierten Warenkorb über actionUpdateCart einreichen und dabei die Angabe der Anzahl unterlassen, wodurch die Erstellung einer IP-basierten Rate-Limiter-Identität verhindert und unbegrenztes automatisches Raten von Coupon-Codes sowie deren Enumeration ermöglicht wird. Dieses Problem wurde in den Versionen 4.11.2 und 5.6.5 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.