CVE-2026-56830

Shopper, bir Headless e-ticaret Yönetici Paneli'dir. 2.9.2 sürümünden önce, daha önceki bir ürün alt form sıkılaştırma değişikliği, packages/admin/src/Livewire/Components/Products/Form/Media.php dosyasındaki store() fonksiyonunu, kardeş alt formlar tarafından kullanılan edit_products yetkilendirme kontrolü olmadan bırakmıştır. browse_products yetkisine sahip kimliği doğrulanmış bir personel kullanıcısı, product-edit izni olmasa bile, Media bileşeni başlatılmış bir ürün için Livewire store işlemini çağırabilir ve küçük resim ile galeri görsellerini değiştirebilir. Ürün bağlaması kilitli olduğundan, saldırgan istemci tarafında ID değişimi yaparak güncellemeyi rastgele bir ürüne yönlendiremez ve etki yalnızca düzenleme sayfaları yüklenen ürünlerle sınırlıdır. Bu sorun 2.9.2 sürümünde düzeltilmiştir.