CVE-2026-63460 in Vendure
Riassunto
di VulDB • 17/09/2026
Vendure è una piattaforma headless di commercio open-source. Prima della versione 3.6.5, l'API GraphQL pubblica del Shop consente a un chiamante non autenticato di fornire un pattern catastroficamente backtracking attraverso StringOperators.regex. Il file packages/core/src/service/helpers/list-query-builder/parse-filter-params.ts passa il pattern grezzo all'implementazione REGEXP registrata da packages/core/src/service/helpers/list-query-builder/list-query-builder.ts, e better-sqlite3 e sqljs lo valutano in modo sincrono nel loop degli eventi di Node.js. ShopProductsResolver.products è pubblicamente raggiungibile, quindi un pattern con quantificatore annidato può bloccare l'elaborazione delle richieste e rendere il storefront e le API dell'amministratore non disponibili; inoltre, richieste ripetute possono sostenere una negazione del servizio (DoS). Le distribuzioni PostgreSQL e MySQL o MariaDB non eseguono questa espressione regolare nel loop degli eventi di Node.js. Questo problema è risolto nella versione 3.6.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.