CVE-2026-67347 in Vendure
Zusammenfassung
von VulDB • 30.07.2026
Vendure bis Version 3.7.1, behoben in Commit f67ef5f, enthält eine Cross-Channel-Autorisierungsumgehungsschwachstelle (Cross-Channel Authorization Bypass) in den Update-Methoden von stock-location.service.ts und asset.service.ts, die es kanalbezogenen Administratoren ermöglicht, Daten anderer Mandanten zu ändern. Angreifer können globale IDs von StockLocation- oder Asset-Entitäten aus verschiedenen Kanälen angeben, um Inventarstandorte oder Katalogassets, die anderen Mandanten gehören, ohne ordnungsgemäße Validierung der Kanalisolierung zu überschreiben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.