CVE-2026-62990 in Shopper
요약
\~에 의해 VulDB • 2026. 10. 30.
Shopper는 Headless 기반의 e-commerce 관리 패널입니다. 버전 2.0.0부터 2.10.1 미만 및 3.0.0 프리릴리스인 beta.1과 beta.2에서, 콘텐츠 업로드 권한을 가진 인증된 백오피스 직원은 관리자 자신의 오리진에 실행 가능한 미디어를 저장할 수 있습니다. 2.x 구현체에서는 관련 업로드 권한으로 `edit_products` 또는 `add_brands`가 포함되며, `packages/admin/config/media.php`는 이미지 필드의 image/* 검증이 SVG도 허용하는 모든 미디어 컬렉션에서 `image/svg+xml`을 허용합니다. 또한 `packages/admin/src/Livewire/Components/Products/Form/Files.php`의 제품 파일 컬렉션에는 MIME 제한이 없어 `text/html`도 허용됩니다. 미디어는 `/storage/` 아래의 `public` 디스크에서 자체 콘텐츠 타입으로 인라인 방식으로 제공되며, `Content-Disposition: attachment` 또는 `Content-Security-Policy`가 적용되지 않습니다. 관리자가 업로드된 HTML 또는 SVG 파일을 열면 해당 파일에 저장된 스크립트가 관리자 세션 내에서 실행됩니다. 2.x 버전에서는 이 스크립트가 `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php`를 호출할 수 있는데, 여기서 `store()` 메서드는 뷰잉 관리자가 보유한 `access_setting`은 확인하지만 클라이언트에서 제공된 `role_id`는 신뢰하므로 공격자가 제어하는 비밀번호로 새로운 관리자 계정을 생성합니다. 이 계정은 업로드된 파일이 삭제된 후에도 유지되며 고객 데이터, 주문, 설정 및 사용자/역할 관리에 대한 접근 권한을 제공합니다. 동일한 스크립트를 통해 데이터를 유출하거나 공격자의 계정에게 권한을 부여할 수도 있습니다. 낮은 특권을 가진 업로더가 직접 계정을 생성하는 것은 차단되므로, 악용하려면 관리자가 해당 파일을 열어야 합니다. 3.x 프리릴리스 라인에서는 이미 SVG는 제외되었지만 실행 가능한 제품 파일은 여전히 허용됩니다. 이 문제는 버전 2.10.1 및 3.0.0-beta.3에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.