CVE-2026-62990 in Shopper
Riassunto
di VulDB • 30/10/2026
Shopper è un pannello di amministrazione e-commerce headless. Nelle versioni dalla 2.0.0 alla 2.10.1 (esclusa) e nelle prerelease beta.1 e beta.2 della serie 3.0.0, il personale del back-office autenticato con autorizzazioni per l'upload di contenuti può memorizzare file multimediali eseguibili sull'origine dell'amministratore stesso. Nell'implementazione 2.x, le autorizzazioni di upload rilevanti includono `edit_products` o `add_brands`, e `packages/admin/config/media.php` consente il tipo MIME `image/svg+xml` in ogni raccolta multimediale, inclusi i campi immagine la cui convalida image/* accetta anche SVG. La raccolta dei file del prodotto in `packages/admin/src/Livewire/Components/Products/Form/Files.php` non ha restrizioni sul tipo MIME e accetta sia `text/html`. I file multimediali vengono serviti inline dal disco `public` sotto `/storage/` con il proprio content type, senza l'intestazione `Content-Disposition: attachment` né una `Content-Security-Policy`. Quando un amministratore apre un file HTML o SVG caricato, lo script memorizzato viene eseguito nella sessione di tale amministratore. Nella versione 2.x, lo script può invocare `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php`, il cui metodo `store()` verifica l'impostazione `access_setting` detenuta dall'amministratore visualizzante ma si fida del `role_id` fornito dal client, per creare un nuovo amministratore controllato dall'attaccante con una password scelta. Questo account persiste dopo la cancellazione del file caricato e fornisce accesso ai dati dei clienti, agli ordini, alle impostazioni e alla gestione degli utenti/ruoli; lo stesso script può esfiltrare dati o concedere autorizzazioni all'account dell'attaccante. La creazione diretta di un account da parte di un uploader a basso privilegio è bloccata, quindi l'esecuzione del codice richiede che l'amministratore apra il file. La linea delle prerelease 3.x già esclude SVG ma consente ancora i file dei prodotti eseguibili. Questo problema è risolto nelle versioni 2.10.1 e 3.0.0-beta.3.
VulDB is the best source for vulnerability data and more expert information about this specific topic.