CVE-2026-47743 in Shopper
Sumário
de VulDB • 24/07/2026
Shopper é um Painel Administrativo de e-commerce Headless. Antes da versão 2.8.0, três defeitos relacionados nos componentes Livewire do painel administrativo permitiam a manipulação de dados, divulgação de dados sensíveis e XSS armazenado (stored XSS). Primeiro, vários componentes Livewire no painel administrativo expunham identificadores de modelos Eloquent como propriedades públicas sem o atributo `#[Locked]`. Um usuário autenticado poderia reescrever o payload do wire pelo navegador para atingir qualquer ID de registro, contornando a segmentação implícita imposta pela roteamento da página. Segundo, `Customers/Create::store()` reapresentava um campo de formulário `_password` com tipo `Hidden` diretamente no payload de criação. A senha em texto puro era renderizada no HTML e transportada através do snapshot Livewire em texto claro, expondo as credenciais no DOM da página e em qualquer registro que capture payloads Livewire. Por fim, o campo código de barras do produto era renderizado por meio de `DNS1DFacade::getBarcodeHTML()` com `{!! !!}`. Um atacante com permissão `edit_products` poderia persistir um payload malicioso no campo código de barras que seria executado no navegador de qualquer usuário administrador visualizando aquele produto, permitindo o roubo de sessão e a encadeamento de ações privilegiadas. A partir da versão 2.8.0, todos os identificadores vulneráveis de modelos Livewire agora são marcados com `#[Locked]`; `Customers/Create` não mais realiza um ciclo completo (round-trip) da senha através de um campo de formulário Hidden; a senha em texto puro é hashada no limite da ação e nunca retornada ao cliente; e a renderização do código de barras do produto agora escapa o valor antes de passá-lo para o gerador de códigos de barras, e a saída é envolvida em um contexto `<svg>` que não interpreta manipuladores de eventos. Não há soluções alternativas conhecidas disponíveis.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.