CVE-2026-31867

إصدارات Craft Commerce السابقة للإصدارين 4.11.0 و5.6.0

يحتوي Craft Commerce، وهو منصة للتجارة الإلكترونية مخصصة لنظام Craft CMS، على ثغرة أمنية من نوع «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) ضمن وظيفة سلة التسوق الخاصة به. تتيح هذه الثغرة للمستخدمين إمكانية اختطاف سلال التسوق من خلال معرفة أو تخمين رقم السلة المكون من 32 حرفًا. يقبل CartController معلمة number التي يزودها المستخدم لتحميل عربات التسوق وتعديلها، لكنه لا يقوم بأي تحقق من ملكية هذه العربات. يقتصر الكود على التحقق من وجود الطلب وكونه غير مكتمل، دون التحقق مما إذا كان الطالب مخولًا بالوصول إليه. وقد يؤدي ذلك إلى الاستيلاء على جلسات التسوق واحتمال الكشف عن المعلومات الشخصية القابلة للتعريف (PII). تنبع المشكلة من عدم وجود عمليات التحقق من التفويض في الدالتين actionLoadCart() و getCart() داخل CartController. وعلى وجه التحديد، يسترد الكود عربات التسوق باستخدام الاستعلام Order::find()->number($number)->isCompleted(false)->one() دون التحقق من أذونات المستخدم. تشمل طرق الهجوم للحصول على أرقام عربات التسوق تسرب رأس المرجع (referrer header)، والوصول إلى سجل المتصفح، وسجلات البروكسي/جدار الحماية (WAF)، والهندسة الاجتماعية، ومحاولات القوة الغاشمة.

يجب تحديث إصدارات Craft Commerce الأقدم من 4.11.0 إلى الإصدار 4.11.0 أو أحدث.

يجب تحديث إصدارات Craft Commerce الأقدم من 5.6.0 إلى الإصدار 5.6.0 أو أحدث.