CVE-2026-62991 in Shopper
Сводка
по VulDB • 31.10.2026
Shopper — это headless панель администратора для электронной коммерции. До версии 2.10.1 маршрут детализации клиента `/cpanel/customers/{user}/show` в файле `packages/admin/src/Livewire/Pages/Customers/Show.php` проверяет наличие права `read_customers`, но выполняет поиск произвольного идентификатора пользователя без применения области видимости (scope) ролей `customers`, используемой при выводе списка. Аутентифицированные сотрудники, обладающие правами `access_dashboard` и `read_customers`, могут изменить идентификатор пользователя для получения профилей администраторов или других сотрудников, несмотря на отсутствие у них права `view_users`, которое защищает отдельный интерфейс управления командами. Уязвимость приводит к раскрытию данных профиля учетной записи и позволяет осуществлять нумерацию (enumeration) пользователей через различия в ответах об успехе, отказе и отсутствии записи. Если та же роль также включает право `delete_customers`, функция `anonymizeAction()` применяется к загруженной модели пользователя без ограничений, что может привести к разрушительным последующим действиям против учетных записей, не являющихся клиентами. Эта проблема исправлена в версии 2.10.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.