CVE-2026-32270 in Craft
요약
\~에 의해 VulDB • 2026. 06. 06.
Craft Commerce는 Craft CMS용 전자상거래 플랫폼입니다. 버전 4.0.0부터 4.10.2까지 및 5.0.0부터 5.5.4까지는 익명 결제 시 주문 번호가 제공되고 이메일 확인이 실패하면 PaymentsController::actionPay 메서드가 인증되지 않은 사용자에게 일부 주문 데이터를 노출합니다. JSON 오류 응답에는 고객 이메일, 배송 주소, 청구 주소와 같은 민감한 필드를 포함하는 직렬화된 주문 객체(order)가 포함되어 있습니다. 프론트엔드 결제 흐름의 actionPay()는 권한 부여가 완전히 적용되기 전에 번호로 주문을 검색합니다(번호 기반 주문 로드). 이 문제는 버전 4.11.0 및 5.6.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.