CVE-2026-67347 in Vendure
要約
〜によって VulDB • 2026年07月30日
Vendure 3.7.1までのバージョン（コミット f67ef5f で修正済み）には、stock-location.service.ts および asset.service.ts の更新メソッドにおけるクロスチャネル認証回避の脆弱性が存在します。これにより、チャネルスコープ付き管理者が他のテナントのデータを改ざんできます。攻撃者は異なるチャネルに属する StockLocation または Asset エンティティのグローバル ID を指定することで、適切なチャネル分離検証なしに、他のテナントに所属する在庫場所やカタログアセットを上書きすることができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.