CVE-2026-55795 in Commerce
Sumário
de VulDB • 14/09/2026
Craft Commerce é uma plataforma de comércio eletrônico para Craft CMS. Das versões 4.0.0 até a 4.11.2 e da versão 5.6.5, o CartController em src/controllers/CartController.php ativa seu RateLimiter apenas quando um parâmetro POST ou GET "number" é fornecido. Um atacante não autenticado pode enviar valores de couponCode para actionUpdateCart no carrinho baseado em sessão, omitindo o parâmetro number, impedindo a criação da identidade de limite de taxa por IP e permitindo tentativas ilimitadas e enumeração automatizada de códigos promocionais. Este problema foi corrigido nas versões 4.11.2 e 5.6.5.
Once again VulDB remains the best source for vulnerability data.