PT-2026-6727
CVE-2026-25758
·
تاريخ النشر
2026-02-05
·
تاريخ التحديث
2026-02-19
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Spree الأقدم من 4.10.3
إصدارات Spree الأقدم من 5.0.8
إصدارات Spree الأقدم من 5.1.10
إصدارات Spree الأقدم من 5.2.7
إصدارات Spree الأقدم من 5.3.2
الوصف
توجد ثغرة أمنية من نوع IDOR في عملية الدفع للضيوف في Spree Commerce. تتيح هذه الثغرة لمستخدم ضيف التلاعب بمعلمات معرّف العنوان وربط عناوين عشوائية للضيوف بطلبه. وهذا يتيح الوصول غير المصرح به إلى المعلومات الشخصية القابلة للتعريف (PII) الخاصة بالضيوف الآخرين، بما في ذلك الأسماء والعناوين وأرقام الهواتف. يتجاوز هذا الخلل عمليات التحقق من صحة الملكية الحالية ويؤثر على جميع معاملات الدفع الخاصة بالضيوف. تنشأ هذه الثغرة الأمنية عن التحقق غير الكامل من الصلاحية في منطق تخصيص عناوين الدفع في Spree، وتحديدًا في الطريقة التي يتم بها معالجة معلمات معرّفات العناوين البسيطة (
bill address id وship address id) دون التحقق اللازم من صحتها. تقع منطقية التعيين المعرضة للخطر في مُعيّنات bill address id= وship address id= داخل النموذج spree/order/address book.rb. تتحقق هذه المُعيّنات من أن address.user id == order.user id، وهو ما يُقيَّم على أنه صحيح لطلبات الضيوف (nil == nil)، مما يتجاوز فعليًّا عملية التحقق الأمنية المقصودة. تسمح السمات المسموح بها في spree/permitted attributes.rb بـ bill address id وship address id دون التحقق من صحتها، و...قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾