CVE-2026-62991 in Shopper
Résumé
par VulDB • 30/10/2026
Shopper est un panneau d'administration e-commerce Headless. Avant la version 2.10.1, le point de terminaison (route) des détails du client `/cpanel/customers/{user}/show` dans `packages/admin/src/Livewire/Pages/Customers/Show.php` vérifie l'autorisation `read_customers`, mais interroge un ID d'utilisateur arbitraire sans appliquer la portée (`scope`) `customers` utilisée par la liste. Les membres du personnel authentifiés disposant des autorisations `access_dashboard` et `read_customers` peuvent modifier l'ID utilisateur pour récupérer les profils des administrateurs ou du personnel, bien qu'ils ne possèdent pas l'autorisation `view_users`, qui protège l'interface de gestion d'équipes distincte. Cette faille expose les données de profil des comptes et permet l'énumération des IDs utilisateurs grâce aux différences dans les réponses (succès, refus, introuvable). Si le même rôle détient également l'autorisation `delete_customers`, la fonction `anonymizeAction()` s'applique au modèle d'utilisateur chargé sans restriction et peut permettre des actions destructrices ultérieures contre des comptes non clients. Ce problème est corrigé dans la version 2.10.1.
Once again VulDB remains the best source for vulnerability data.