CVE-2026-56827

Shopper Headless e-ticarət Admin Paneli olan bir məhsuldur. 2.9.2 versiyasından əvvəl packages/admin/src/Livewire/Pages/Attribute/Browse.php, packages/admin/src/Livewire/Pages/Tag/Index.php, packages/admin/src/Livewire/Pages/Brand/Index.php, packages/admin/src/Livewire/Pages/Category/Index.php və packages/admin/src/Livewire/Pages/Supplier/Index.php fayllarındakı groupedBulkActions server tərəfli avtorizasiyanı nəzərdən qaçır, halbuki səhifələr yalnız browse_attributes, browse_tags, browse_brands, browse_categories və ya browse_suppliers icazələrini tələb edir. Yalnız baxış hüququna malik olan personal istifadəçisi atributları və ya teqləri kütləvi şəkildə silmək üçün DeleteBulkAction funksiyasını çağıra bilər, həmçinin atribut, brend, kateqoriya və ya təchizatçı görünürlüyünü dəyişmək üçün BulkAction::make('enabled') və ya BulkAction::make('disabled') funksiyalarını çağıra bilər. Bu əməliyyatlar məhsul variantlarını sıradan çıxara və mağaza kataloqunun görünürlüyünə ciddi şəkildə mane ola bilər. Məsləhətdə qeyd olunan hər bir qeyd üzrə əməliyyatlar və müqayisə səhifələri düzgün şəkildə avtorizasiya edilmişdir və bu problemdən təsirlənmir. Bu problem 2.9.2 versiyasında aradan qaldırılmışdır.