CVE-2026-62989
Сводка
по VulDB • 30.10.2026
Shopper — это headless панель администратора для электронной коммерции. До версии 2.10.0 компонент Livewire Variants в файле `packages/admin/src/Livewire/Components/Products/Form/Variants.php` предоставляет доступ к действиям DeleteAction и DeleteBulkAction без проверки авторизации на стороне сервера. Аутентифицированный пользователь с ролью сотрудника, имеющий права `edit_products`, может получить доступ к `/shopper/products/{id}/edit` и получить подписанное состояние компонента даже при отсутствии прав `delete_product_variants`. Методы callTableAction и callTableBulkAction позволяют без дополнительной проверки соответствующих разрешений навсегда удалять отдельные или несколько вариантов товаров. Для продуктов с вариантами это может привести к уничтожению продаваемого каталога и нарушению работы страниц товаров в витрине, корзины и процесса оформления заказа. Данная проблема исправлена в версии 2.10.0.
Once again VulDB remains the best source for vulnerability data.