PT-2026-134219
CVE-2026-62989
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Shopper الإصدارات السابقة لـ 2.10.0
Description
يفتقر مكون Livewire Variants في
packages/admin/src/Livewire/Components/Products/Form/Variants.php إلى تفويض من جانب الخادم لـ DeleteAction و DeleteBulkAction. يمكن لمستخدم موظف مصرح له بصلاحيات edit products الوصول إلى endpoint /shopper/products/{id}/edit للحصول على حالة المكون الموقعة. لاحقاً، تسمح مسارات callTableAction و callTableBulkAction بالحذف الدائم لمتغيرات منتج واحدة أو متعددة دون التحقق من صلاحية delete product variants. قد يؤدي ذلك إلى تدمير كتالوج المنتجات القابلة للبيع وتعطيل صفحات المنتجات في المتجر، وعربة التسوق، وعمليات الدفع.Recommendations
التحديث إلى الإصدار 2.10.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾