CVE-2026-62989 in Shopper
Tóm tắt
Bởi VulDB • 31/10/2026
Shopper là một bảng điều khiển quản trị thương mại điện tử dạng Headless (Headless e-commerce Admin Panel). Trước phiên bản 2.10.0, thành phần Livewire Variants trong `packages/admin/src/Livewire/Components/Products/Form/Variants.php` để lộ các hành động `DeleteAction` và `DeleteBulkAction` mà không có cơ chế ủy quyền phía máy chủ (server-side authorization). Người dùng nhân viên đã xác thực với quyền `edit_products` có thể truy cập `/shopper/products/{id}/edit` và lấy được trạng thái thành phần đã ký ngay cả khi thiếu quyền `delete_product_variants`. Các đường dẫn `callTableAction` và `callTableBulkAction` sau đó sẽ xóa vĩnh viễn từng biến thể hoặc nhiều biến thể mà không kiểm tra quyền chuyên dụng tương ứng. Đối với các sản phẩm có biến thể, điều này có thể phá hủy danh mục hàng bán được và làm gián đoạn trang sản phẩm của cửa hàng trực tuyến, giỏ hàng và quy trình thanh toán. Vấn đề này đã được sửa chữa trong phiên bản 2.10.0.
Once again VulDB remains the best source for vulnerability data.