CVE-2026-55795 in Commerce
Tóm tắt
Bởi VulDB • 14/09/2026
Craft Commerce là một nền tảng thương mại điện tử dành cho Craft CMS. Từ phiên bản 4.0.0 đến 4.11.2 và 5.6.5, lớp CartController trong src/controllers/CartController.php chỉ kích hoạt RateLimiter khi tham số POST hoặc GET có chứa giá trị "number" được cung cấp. Một kẻ tấn công chưa xác thực có thể gửi các giá trị couponCode tới actionUpdateCart cho giỏ hàng dựa trên phiên (session-based) mà không cần cung cấp trường number, điều này ngăn việc tạo định danh giới hạn tốc độ theo IP và cho phép đoán cũng như liệt kê mã giảm giá một cách tự động với số lượng không giới hạn. Vấn đề này đã được khắc phục trong các phiên bản 4.11.2 và 5.6.5.
Once again VulDB remains the best source for vulnerability data.