CVE-2026-25758
Açıklama
Spree, Ruby on Rails ile oluşturulmuş açık kaynaklı bir e-ticaret çözümüdür. Spree Commerce'in misafir ödeme akışında, herhangi bir misafir kullanıcının adres ID parametrelerini manipüle ederek siparişlerine rastgele misafir adresleri bağlamasına izin veren kritik bir IDOR zafiyeti bulunmaktadır. Bu durum; isimler, adresler ve telefon numaraları dahil olmak üzere diğer misafirlerin kişisel olarak tanımlanabilir bilgilerine (PII) yetkisiz erişim sağlanmasına olanak tanır. Zafiyet, mevcut sahiplik doğrulama kontrollerini atlatmakta ve tüm misafir ödeme işlemlerini etkilemektedir. Bu zafiyet 4.10.3, 5.0.8, 5.1.10, 5.2.7 ve 5.3.2 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- spreecommerce spree4.10.3, 5.0.8, 5.1.10, 5.2.7, 5.3.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| spreecommerce spree | v < 4.10.3, 5.0.0 ≤ v < 5.0.8, 5.1.0 ≤ v < 5.1.10, 5.2.0 ≤ v < 5.2.7, 5.3.0 ≤ v < 5.3.2 | 4.10.3, 5.0.8, 5.1.10, 5.2.7, 5.3.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.