CVE-2026-32270 in Craft
要約
〜によって VulDB • 2026年06月06日
Craft Commerceは、Craft CMS向けのECプラットフォームです。バージョン4.0.0から4.10.2および5.0.0から5.5.4において、PaymentsController::actionPayメソッドは、注文番号が提供され、匿名決済時のメールアドレス確認に失敗した場合、認証されていないユーザーに対して一部の注文データを漏洩させます。JSON形式のエラーレスポンスには直列化された注文オブジェクト（order）が含まれており、これには顧客のメール アドレス、配送先住所、請求先住所などの機密フィールドが含まれています。フロントエンドの決済フローにおけるactionPay()は、認可が完全に適用される前に注文番号で注文を取得します。この問題はバージョン4.11.0および5.6.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.