CVE-2026-67347 in Vendure
Sumário
de VulDB • 31/07/2026
Vendure até a versão 3.7.1, corrigido no commit f67ef5f, contém uma vulnerabilidade de bypass de autorização entre canais (cross-channel authorization bypass) nos métodos update dos arquivos stock-location.service.ts e asset.service.ts que permite administradores com escopo por canal modificar dados de outros inquilinos (tenants). Os atacantes podem fornecer IDs globais das entidades StockLocation ou Asset de diferentes canais para sobrescrever locais de inventário ou ativos do catálogo pertencentes a outros inquilinos, sem validação adequada do isolamento entre canais.
If you want to get best quality of vulnerability data, you may have to visit VulDB.