CVE-2026-47740

Shopper, bir Headless e-ticaret Yönetici Paneli'dir. 2.8.0 sürümünden önce, yönetici Sipariş detayı ve Sipariş sevkiyatları tablosundaki birden fazla Filament işlemi, siparişleri değiştirme için gerekli izne sahip olmayan, kimliği doğrulanmış düşük yetkili bir kullanıcı tarafından çağrılabiliyordu. Sipariş detayı işlemleri olan iptal et, ödendi olarak işaretle, tamamlandı olarak işaretle, ödemeyi tahsil et, arşivle ve işlemeye başla; salt okunur read_orders izni ile çağrılabiliyor ve edit_orders izni gerektirmiyordu. capturePayment, gerçek bir PSP tahsilatını (gerçek fon hareketi) tetikleyebilirdi. Sipariş sevkiyatları tablosu işlemleri olan teslim edildi olarak işaretle ve takibi düzenle, salt okunur browse_orders izni ile çağrılabiliyordu. Bu nedenle, siparişlere okuma erişimi olan bir kullanıcı, paneldeki her siparişin yaşam döngüsünü değiştirebilir ve gerçek dünya ödeme tahsilatlarını tetikleyebilirdi. Bu güvenlik açığı 2.8.0 sürümünde giderilmiştir.