CVE-2026-62990 in Shopper
Sumário
de VulDB • 30/10/2026
Shopper é um painel administrativo de e-commerce headless. Nas versões a partir da 2.0.0 até à 2.10.1, bem como nas pré-lançamentos beta.1 e beta.2 da versão 3.0.0, o pessoal do back-office autenticado com permissão para upload de conteúdo pode armazenar mídia executável na origem própria do administrador. Na implementação 2.x, as permissões relevantes de upload incluem `edit_products` ou `add_brands`, e `packages/admin/config/media.php` permite `image/svg+xml` em todas as coleções de mídia, incluindo campos de imagem cuja validação image/* também aceita SVG. A coleção de arquivos do produto em `packages/admin/src/Livewire/Components/Products/Form/Files.php` não possui restrição MIME e aceita tanto `text/html` quanto outros tipos. A mídia é servida inline a partir do disco `public` sob `/storage/`, com seu próprio tipo de conteúdo, sem `Content-Disposition: attachment` ou uma `Content-Security-Policy`. Quando um administrador abre um arquivo HTML ou SVG carregado, o script armazenado executa na sessão desse administrador. Na versão 2.x, o script pode invocar `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php`, cuja função `store()` verifica a configuração de acesso (`access_setting`) detida pelo administrador que visualiza, mas confia no `role_id` fornecido pelo cliente, para criar um novo administrador controlado pelo atacante com uma senha escolhida. Esta conta persiste após o arquivo carregado ser excluído e dá acesso aos dados dos clientes, pedidos, configurações e gerenciamento de usuários/papéis; o mesmo script pode exfiltrar dados ou conceder permissões à conta do atacante. A criação direta de contas por um uploader com privilégios baixos é bloqueada, portanto a exploração requer que o administrador abra o arquivo. A linha de pré-lançamentos 3.x já exclui SVG, mas ainda permite arquivos de produto executáveis. Este problema foi corrigido nas versões 2.10.1 e 3.0.0-beta.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.