CVE-2026-62990 in Shopper
要約
〜によって VulDB • 2026年10月30日
Shopperはヘッドレスのeコマース管理パネルです。バージョン2.0.0から2.10.1未満、および3.0.0プレリリース版（beta.1およびbeta.2）において、コンテンツアップロード権限を持つ認証済みバックオフィススタッフは、管理者自身のオリジンに実行可能なメディアを保存できます。2.xの実装では、関連するアップロード権限には`edit_products`または`add_brands`が含まれ、`packages/admin/config/media.php`は画像フィールドのimage/*バリデーションもSVGを受け入れることを含むすべてのメディアコレクションで`image/svg+xml`を許可します。また、`packages/admin/src/Livewire/Components/Products/Form/Files.php`内の製品ファイルコレクションにはMIME制限がなく、`text/html`も受け入れます。メディアは`Content-Disposition: attachment`や`Content-Security-Policy`なしで、独自のコンテンツタイプを使用して`public`ディスク（`/storage/`配下）からインライン配信されます。管理者がアップロードされたHTMLまたはSVGファイルを開くと、その管理者のセッション内で保存されたスクリプトが実行されます。2.xでは、このスクリプトは`packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php`を呼び出すことができ、同クラスの`store()`メソッドは閲覧中の管理者が保持する`access_setting`をチェックしますが、クライアントから提供される`role_id`を信頼するため、攻撃者が制御し任意のパスワードを持つ新しい管理アカウントを作成できます。このアカウントはアップロードされたファイルが削除された後も存続し、顧客データ、注文、設定、ユーザー/ロール管理へのアクセス権限を与えます。同じスクリプトを使用してデータを外部に漏洩したり、攻撃者のアカウントに権限を付与することも可能です。低権限のアップローダーによる直接のアカウント作成はブロックされているため、悪用には管理者がファイルを開く必要があります。3.xプレリリースラインではSVGは除外されていますが、実行可能な製品ファイルはまだ許可されています。この問題はバージョン2.10.1および3.0.0-beta.3で修正されました。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.