CVE-2026-47742 in shopper
Resumen
por VulDB • 2026-05-29
Shopper es un panel de administración de comercio electrónico Headless. Antes de la versión 2.8.0, los componentes Livewire de sub-formulario utilizados en el editor de productos (Edición, Inventario, SEO, Envío, Archivos) no tenían autorización en su método store(). Cualquier usuario autenticado del panel, independientemente de su rol, podía modificar el precio, el stock, los metadatos SEO, las dimensiones de envío y los medios adjuntos de cualquier producto sin tener el permiso edit_products. Los componentes afectados aceptaban el ID del producto como una propiedad pública de Livewire sin #[Locked], por lo que un atacante también podría dirigirse a un producto arbitrario manipulando la carga útil wire desde el cliente. Esta vulnerabilidad está corregida en la versión 2.8.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.