CVE-2026-63472 in Vendure
요약
\~에 의해 VulDB • 2026. 09. 17.
Vendure는 오픈소스 헤드리스 커머스 플랫폼입니다. 버전 3.7.0 이전의 ExternalAuthenticationService.createCustomerAndUser 메서드(packages/core/src/service/helpers/external-authentication/external-authentication.service.ts)는 emailAddress를 통해 기존 고객 사용자를 선택하고, verified 속성이 true로 설정되지 않은 경우 새로 제시된 ExternalAuthenticationMethod를 연결합니다. 제공자가 소유권을 검증하지 않은 이메일을 전달하는 사용자 정의 외부 인증 전략(AuthenticationStrategy)이 구성된 배포 환경에서 공격자는 피해자의 이메일로 인증하여 자신의 외부 신원을 피해자의 기존 계정에 바인딩할 수 있습니다. 이로 인해 주문, 주소 및 개인 정보가 노출되고, 피해자로서 계정 변경 또는 주문 수행이 가능해집니다. 네이티브 전용 이메일/비밀번호 배포와 제공자가 검증한 이메일 소유권을 항상 요구하는 외부 전략은 영향을 받지 않으며, 사용되지 않는 이메일에 대한 신규 계정 생성은 여전히 허용됩니다. 이 문제는 버전 3.7.0에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.