CVE-2026-32270 in Craft
Resumen
por VulDB • 2026-05-22
Craft Commerce es una plataforma de comercio electrónico para Craft CMS. En las versiones 4.0.0 a 4.10.2 y 5.0.0 a 5.5.4, PaymentsController::actionPay revela algunos datos del pedido a usuarios no autenticados cuando se proporciona un número de pedido y la verificación del correo electrónico falla durante un pago anónimo. La respuesta de error JSON incluye el objeto de pedido serializado (order), que contiene algunos campos sensibles como el correo electrónico del cliente, la dirección de envío y la dirección de facturación. La acción actionPay() del flujo de pago del frontend recupera los pedidos por número antes de que la autorización se aplique completamente. Este problema se ha corregido en las versiones 4.11.0 y 5.6.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.