CVE-2026-62990 in Shopper
Zusammenfassung
von VulDB • 30.10.2026
Shopper ist ein Headless-E-Commerce-Adminpanel. In den Versionen von 2.0.0 bis vor 2.10.1 sowie in den Pre-Releases beta.1 und beta.2 der Reihe 3.0.0 können authentifizierte Mitarbeiter im Backoffice mit einer Berechtigung zum Hochladen von Inhalten ausführbare Medien auf dem Ursprungsserver des Administrators speichern. In der Implementierung der Versionen 2.x umfassen die relevanten Upload-Berechtigungen `edit_products` oder `add_brands`, und `packages/admin/config/media.php` erlaubt `image/svg+xml` in jeder Mediensammlung, einschließlich Bildfeldern, deren image/*-Validierung ebenfalls SVG akzeptiert. Die Produktdateisammlung in `packages/admin/src/Livewire/Components/Products/Form/Files.php` hat keine MIME-Einschränkung und akzeptiert sowohl `text/html` als auch andere Typen. Medien werden aus dem `public`-Speicher unter `/storage/` mit ihrem eigenen Content-Type inline bereitgestellt, ohne `Content-Disposition: attachment` oder eine `Content-Security-Policy`. Wenn ein Administrator eine hochgeladene HTML- oder SVG-Datei öffnet, wird der gespeicherte Skript in der Sitzung dieses Administrators ausgeführt. In Versionen 2.x kann das Skript `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php` aufrufen, dessen Methode `store()` die vom betrachtenden Administrator gehaltene Einstellung `access_setting` überprüft, dem clientseitig bereitgestellten `role_id` jedoch vertraut, um einen neuen, von Angreifern kontrollierten Administrator mit einem gewählten Passwort zu erstellen. Dieses Konto bleibt auch nach der Löschung der hochgeladenen Datei bestehen und bietet Zugriff auf Kundendaten, Bestellungen, Einstellungen sowie das Benutzer-/Rollenmanagement; derselbe Skript kann Daten exfiltrieren oder dem Konto des Angreifers Berechtigungen erteilen. Die direkte Kontoeinrichtung durch den niedrig privilegierten Uploader ist blockiert, daher erfordert die Ausnutzung, dass der Administrator die Datei öffnet. Die Pre-Release-Reihe von Versionen 3.x schließt SVG bereits aus, erlaubt jedoch weiterhin ausführbare Produktdateien. Dieses Problem wurde in den Versionen 2.10.1 und 3.0.0-beta.3 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.