CVE-2026-47743

Shopper, bir Headless e-ticaret Yönetici Paneli'dir. 2.8.0 sürümünden önce, yönetici Livewire bileşenlerindeki birbiriyle ilişkili üç kusur; veri manipülasyonuna, hassas veri ifşasına ve depolanan XSS'e izin veriyordu. İlk olarak, yönetici panelindeki birkaç Livewire bileşeni, Eloquent model tanımlayıcılarını `#[Locked]` özniteliği olmadan genel özellikler olarak açığa çıkarıyordu. Kimliği doğrulanmış bir kullanıcı, sayfa yönlendirmesi tarafından uygulanan örtük kapsamlamayı atlayarak herhangi bir kayıt kimliğini hedeflemek için tarayıcıdan wire yükünü yeniden yazabiliyordu. İkinci olarak, `Customers/Create::store()` fonksiyonu, gizli (`Hidden`) bir `_password` form alanını doğrudan oluşturma yüküne aktarıyordu. Açık metin şifre HTML'e işleniyor ve Livewire anlık görüntüsü üzerinden açık metin olarak taşınıyordu; bu durum, kimlik bilgilerini sayfa DOM'unda ve Livewire yüklerini yakalayan tüm günlüklere ifşa ediyordu. Son olarak, ürün barkod alanı `{!! !!}` ile `DNS1DFacade::getBarcodeHTML()` aracılığıyla işleniyordu. `edit_products` yetkisine sahip bir saldırgan, barkod alanında kötü amaçlı bir yük kalıcı hale getirebilir ve bu yük, ürünü görüntüleyen herhangi bir yönetici kullanıcısının tarayıcısında çalışarak oturum çalmaya ve ayrıcalıklı işlem zincirleme yapılmasına olanak tanıyabilirdi. v2.8.0 sürümüyle birlikte, savunmasız tüm Livewire model tanımlayıcıları artık `#[Locked]` olarak işaretlenmiştir; `Customers/Create` artık şifreyi gizli bir form alanı üzerinden geri döndürmemektedir; açık metin şifre işlem sınırında özetlenmekte (hash) ve istemciye asla geri gönderilmemektedir; ayrıca ürün barkodu işlemesi, değeri barkod oluşturucuya aktarmadan önce kaçış karakterlerini eklemekte ve çıktı, olay yöneticilerini yorumlamayan bir `<svg>` bağlamına alınmaktadır. Bilinen bir geçici çözüm bulunmamaktadır.