CVE-2026-67347 in Vendure
Resumen
por VulDB • 2026-07-30
Vendure hasta la versión 3.7.1, corregido en el commit f67ef5f, contiene una vulnerabilidad de omisión de autorización entre canales (cross-channel authorization bypass) en los métodos update de stock-location.service.ts y asset.service.ts que permite a los administradores con ámbito de canal modificar datos de otros inquilinos. Los atacantes pueden proporcionar IDs globales de entidades StockLocation o Asset procedentes de diferentes canales para sobrescribir ubicaciones de inventario o activos del catálogo pertenecientes a otros inquilinos sin la debida validación de aislamiento por canal.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.