CVE-2026-32270 in Craft
Résumé
par VulDB • 06/06/2026
Craft Commerce est une plateforme de commerce électronique pour Craft CMS. Dans les versions 4.0.0 à 4.10.2 et 5.0.0 à 5.5.4, la méthode `PaymentsController::actionPay` divulgue certaines données de commande aux utilisateurs non authentifiés lorsqu'un numéro de commande est fourni et que la vérification de l'email échoue lors d'un paiement anonyme. La réponse JSON d'erreur inclut l'objet de commande sérialisé (order), qui contient certains champs sensibles tels que l'email du client, l'adresse de livraison et l'adresse de facturation. Le flux de paiement frontend `actionPay()` récupère les commandes par numéro avant que l'autorisation ne soit pleinement appliquée. Ce problème a été corrigé dans les versions 4.11.0 et 5.6.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.