CVE-2026-47742
Açıklama
Shopper, bir Headless e-ticaret Yönetim Paneli'dir. 2.8.0 sürümünden önce, ürün düzenleyicide (Edit, Inventory, Seo, Shipping, Files) kullanılan Alt form Livewire bileşenlerinin store() metodunda herhangi bir yetkilendirme bulunmuyordu. Rolü ne olursa olsun, kimliği doğrulanmış herhangi bir panel kullanıcısı, edit_products yetkisine sahip olmadan herhangi bir ürünün fiyatlandırmasını, stok durumunu, SEO meta verilerini, nakliye boyutlarını ve ekli medyayı değiştirebiliyordu. Etkilenen bileşenler, ürün kimliğini #[Locked] özniteliği olmaksızın genel bir Livewire özelliği olarak kabul ediyordu; bu nedenle bir saldırgan, istemciden gelen wire yükünü manipüle ederek rastgele bir ürünü de hedefleyebiliyordu. Bu güvenlik açığı 2.8.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- shopper/framework2.8.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shopper/frameworkPackagist | v < 2.8.0 | 2.8.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.