CVE-2026-25757

إصدارات Spree الأقدم من 5.0.8

إصدارات Spree الأقدم من 5.1.10

إصدارات Spree الأقدم من 5.2.7

إصدارات Spree الأقدم من 5.3.2

يحتوي Spree، وهو حل تجارة إلكترونية مفتوح المصدر، على ثغرة تسمح للمستخدمين غير المصادق عليهم بالاطلاع على طلبات الضيوف المكتملة باستخدام معرّف الطلب. وقد يؤدي ذلك إلى الكشف عن المعلومات الشخصية القابلة للتعريف (PII) الخاصة بالضيوف، بما في ذلك الأسماء والعناوين وأرقام الهواتف. تعود المشكلة إلى الإجراء OrdersController#show، الذي يسمح بالاستعلام عن الطلب برقمه دون الحاجة إلى الرمز المميز المرتبط بالطلب. ولا تطبق الدالة authorize access التفويض بشكل صحيح على طلبات الضيوف. يمكن للمهاجم الذي يمتلك معرّف طلب مسربًا، أو من خلال هجوم القوة الغاشمة، الوصول إلى تفاصيل الطلب عبر نقطة نهاية واجهة برمجة التطبيقات (API) /orders/{id}. يتم إنشاء معرّفات الطلبات بطريقة آمنة، لكنها تتميز بانتروبيا منخفضة نسبيًا، مما قد يجعل هجمات القوة الغاشمة ممكنة.

يجب تحديث الإصدارات الأقدم من 5.0.8 إلى الإصدار 5.0.8 أو أحدث.

يجب تحديث الإصدارات الأقدم من 5.1.10 إلى الإصدار 5.1.10 أو أحدث.

يجب تحديث الإصدارات الأقدم من 5.2.7 إلى الإصدار 5.2.7 أو أحدث.

يجب تحديث الإصدارات الأقدم من 5.3.2 إلى الإصدار 5.3.2 أو أحدث.