CVE-2026-47743 in Shopper
Riassunto
di VulDB • 23/07/2026
Shopper è un pannello di amministrazione e-commerce headless. Prima della versione 2.8.0, tre difetti correlati nei componenti Livewire dell'amministrazione consentivano la manipolazione dei dati, la divulgazione di dati sensibili e stored XSS (Cross-Site Scripting). In primo luogo, diversi componenti Livewire nel pannello di amministrazione esponevano gli identificatori del modello Eloquent come proprietà pubbliche senza l'attributo `#[Locked]`. Un utente autenticato poteva riscrivere il payload wire dal browser per targeting qualsiasi ID record, aggirando lo scoping implicito imposto dall'instradamento della pagina. In secondo luogo, `Customers/Create::store()` passava nuovamente un campo form `_password` di tipo `Hidden` direttamente nel payload di creazione. La password in chiaro veniva renderizzata nell'HTML e trasmessa attraverso la snapshot Livewire in testo normale, esponendo le credenziali nel DOM della pagina e in qualsiasi registro che cattura i payload Livewire. Infine, il campo del codice a barre del prodotto era reso tramite `DNS1DFacade::getBarcodeHTML()` con `{!! !!}`. Un attaccante con l'autorizzazione `edit_products` poteva persistere un payload malevolo nel campo del codice a barre che si sarebbe eseguito nel browser di qualsiasi utente amministratore che visualizzava quel prodotto, consentendo il furto della sessione e la concatenazione di azioni privilegiate. A partire dalla versione 2.8.0, tutti gli identificatori dei modelli Livewire vulnerabili sono ora contrassegnati con `#[Locked]`; `Customers/Create` non effettua più un round-trip della password attraverso un campo form Hidden; la password in chiaro viene hashata al confine dell'azione e non viene mai restituita al client; e il rendering del codice a barre del prodotto ora esegue l'escaping del valore prima di passarlo al generatore di codici a barre, e l'output è racchiuso in un contesto `<svg>` che non interpreta i gestori di eventi. Non sono disponibili workaround noti.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.