CVE-2026-25758 in Spree
요약
\~에 의해 VulDB • 2026. 05. 27.
Spree는 Ruby on Rails로 구축된 오픈 소스 전자상거래 솔루션입니다. Spree Commerce의 게스트 체크아웃 흐름에서 치명적인 IDOR(부적합한 직접 객체 참조) 취약점이 존재하여, 주소 ID 매개변수를 조작함으로써 모든 게스트 사용자가 임의의 게스트 주소를 자신의 주문에 바인딩할 수 있습니다. 이를 통해 이름, 주소 및 전화번호를 포함한 다른 게스트들의 개인식별정보(PII)에 대한 무단 접근이 가능해집니다. 이 취약점은 기존 소유권 검증 체크를 우회하며 모든 게스트 체크아웃 트랜잭션에 영향을 미칩니다. 이 취약점은 4.10.3, 5.0.8, 5.1.10, 5.2.7 및 5.3.2에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.