CVE-2026-47744

Shopper, bir Headless e-ticaret Yönetim Paneli'dir. 2.8.0 sürümünden önce, ekip ayarlarındaki iki farklı yetkilendirme kusuru, kimliği doğrulanmış herhangi bir panel kullanıcısının RBAC sistemini ele geçirmesine izin veriyordu. Settings/Team/Index kısmında mount() yetkilendirmesi bulunmuyordu. Kimliği doğrulanmış herhangi bir kullanıcı sayfayı yükleyebilir ve genel eylemlerini kullanarak yöneticiler dahil yeni roller oluşturabilir ve diğer kullanıcıları silebilir. Settings/Team/RolePermission, yazma eylemlerini salt okunur view_users iznine bağlıyordu. view_users iznine sahip olan herhangi bir kullanıcı; kendisine veya başka bir kullanıcıya manage_users ve edit_orders dahil rastgele izinler verebilir, böylece salt okunur bir hesaptan tam panel yöneticiliğine etkili bir şekilde yetki yükseltebilirdi. Bu iki kusur birlikte, düşük ayrıcalıklı ve kimliği doğrulanmış bir kullanıcının yönetici ayrıcalıkları elde etmesine ve meşru yöneticileri panelden kaldırmasına olanak tanır. Bu güvenlik açığı 2.8.0 sürümünde giderilmiştir.