CVE-2026-56831

Shopper, bir Headless e-ticaret Yönetim Paneli'dir. 2.9.0 sürümünden önce, /cpanel/discounts yönetim arayüzü negatif fixed_amount indirim değerlerini kabul etmekte, bunları sh_discounts içinde saklamakta ve pozitif değer değişmezini zorunlu kılmadan vendor/shopper/cart/src/Discounts/DiscountCalculator.php ile vendor/shopper/cart/src/Pipelines/Calculate.php üzerinden geçirmektedir. Hesaplama işlemi discountTotal değerini ara toplamdan çıkardığı için, negatif bir indirim sonuçlanan sipariş tutarını azaltmak yerine artırmaktadır. Güvenlik bildirimi müşteri tarafında bir istismar yolu belirlememiş olsa da, hatalı biçimlendirilmiş indirim kayıtları yanlış fiyatlandırmaya ve finansal veri bütünlüğü hatalarına neden olabilir. Bu sorun 2.9.0 sürümünde düzeltilmiştir.