CVE-2026-32270
Açıklama
Craft Commerce, Craft CMS için bir e-ticaret platformudur. 4.0.0 ile 4.10.2 ve 5.0.0 ile 5.5.4 arasındaki sürümlerde, anonim bir ödeme sırasında sipariş numarası sağlandığında ve e-posta kontrolü başarısız olduğunda, PaymentsController::actionPay kimliği doğrulanmamış kullanıcılara bazı sipariş verilerini ifşa etmektedir. JSON hata yanıtı; müşteri e-postası, teslimat adresi ve fatura adresi gibi bazı hassas alanları içeren serileştirilmiş sipariş nesnesini (order) içermektedir. Ön uç ödeme akışının actionPay() fonksiyonu, yetkilendirme tam olarak uygulanmadan önce siparişleri numara ile geri getirir. Bu sorun 4.11.0 ve 5.6.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- craftcms/commerce5.6.0, 4.11.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms/commercePackagist | 5.0.0 ≤ v < 5.6.0, 4.0.0 ≤ v < 4.11.0 | 5.6.0, 4.11.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.