CVE-2026-25758 in Spree
要約
〜によって VulDB • 2026年05月12日
SpreeはRuby on Railsで構築されたオープンソースのeコマースソリューションです。Spree Commerceのゲストチェックアウトフローには、重大なIDOR（インディレクトリオブジェクト参照の欠如）脆弱性が存在し、攻撃者はアドレスIDパラメータを操作することで、任意のゲストアドレスを自らの注文に紐付けることができます。これにより、名前、住所、電話番号など、他のゲストの個人識別情報（PII）への不正アクセスが可能になります。この脆弱性は既存の所有権検証チェックをバイパスし、すべてのゲストチェックアウトトランザクションに影響を与えます。この脆弱性は4.10.3、5.0.8、5.1.10、5.2.7、および5.3.2で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.