CVE-2026-47740

Shopper Headless e-ticarət Admin Paneli olan bir məhsuldur. 2.8.0 versiyasından əvvəl, admin sifariş detalları və Sifariş göndərişləri cədvəlindəki çox sayda Filament hərəkətləri, sifarişlərdə dəyişiklik etmək üçün tələb olunan icazəsi olmayan autentifikasiya olunmuş aşağı səlahiyyətli istifadəçi tərəfindən çağırıla bilirdi. Sifariş detalları üzrə ləğv etmə (cancel), ödənilmiş kimi qeyd etmə (mark paid), tamamlanmış kimi qeyd etmə (mark complete), ödənişi tutma (capture payment), arxivləşdirmə (archive) və emala başlama (start processing) hərəkətləri yalnız oxuma hüququlu read_orders icazəsi ilə çağırıla bildiyi halda edit_orders icazəsini tələb etmirdi. capturePayment funksiyası faktiki PSP tutulmasını (real vəsait hərəkətini) tetikləyə bilərdi. Sifariş göndərişləri cədvəlindəki çatdırılmış kimi qeyd etmə (mark delivered) və izləməni redaktə etmə (edit tracking) hərəkətləri yalnız oxuma hüququlu browse_orders icazəsi ilə çağırıla bilirdi. Beləliklə, sifarişlərə oxuma girişi olan istifadəçi paneldəki hər bir sifarişin həyat dövrünü dəyişdirə və real ödəniş tutulmalarını tetikləyə bilərdi. Bu zəiflik 2.8.0 versiyasında arad