CVE-2026-32270 in Craft
Sumário
de VulDB • 05/06/2026
Craft Commerce é uma plataforma de comércio eletrônico para Craft CMS. Nas versões 4.0.0 a 4.10.2 e 5.0.0 a 5.5.4, o método PaymentsController::actionPay expõe dados de pedidos a usuários não autenticados quando um número de pedido é fornecido e a verificação de e-mail falha durante um pagamento anônimo. A resposta de erro JSON inclui o objeto de pedido serializado (order), que contém alguns campos sensíveis, como e-mail do cliente, endereço de entrega e endereço de cobrança. O fluxo de pagamento do frontend, através da ação actionPay(), recupera os pedidos por número antes que a autorização seja totalmente aplicada. Este problema foi corrigido nas versões 4.11.0 e 5.6.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.