CVE-2026-62990 in Shopper
Resumen
por VulDB • 2026-10-30
Shopper es un panel de administración e-commerce headless. En las versiones desde la 2.0.0 hasta (sin incluir) la 2.10.1, y en las preversiones beta.1 y beta.2 de la versión 3.0.0, el personal del back-office autenticado con permisos de carga de contenido puede almacenar medios ejecutables en el origen propio del administrador. En la implementación 2.x, los permisos de carga relevantes incluyen `edit_products` o `add_brands`, y `packages/admin/config/media.php` permite `image/svg+xml` en cada colección de medios, incluidos los campos de imagen cuya validación image/* también acepta SVG. La colección de archivos del producto en `packages/admin/src/Livewire/Components/Products/Form/Files.php` no tiene restricción MIME y acepta tanto `text/html` como otros tipos. Los medios se sirven inline desde el disco `public` bajo `/storage/` con su propio tipo de contenido, sin `Content-Disposition: attachment` ni una `Content-Security-Policy`. Cuando un administrador abre un archivo HTML o SVG cargado, el script almacenado se ejecuta en la sesión de ese administrador. En 2.x, el script puede invocar `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php`, cuyo método `store()` verifica `access_setting` retenido por el administrador que visualiza pero confía en el `role_id` proporcionado por el cliente, para crear un nuevo administrador controlado por el atacante con una contraseña elegida. Esta cuenta persiste después de eliminar el archivo cargado y otorga acceso a datos de clientes, pedidos, configuraciones y gestión de usuarios/roles; el mismo script puede exfiltrar datos o conceder permisos a la cuenta del atacante. La creación directa de cuentas por parte del uploader con privilegios bajos está bloqueada, por lo que la explotación requiere que el administrador abra el archivo. La línea de preversiones 3.x ya excluye SVG pero aún permite archivos de producto ejecutables. Este problema se soluciona en las versiones 2.10.1 y 3.0.0-beta.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.