PT-2026-90542

CVE-2026-56826

·

تاريخ النشر

2026-09-11

·

تاريخ التحديث

2026-10-17

الوصف من

CVSS 3.1
5.4
متوسطة
المقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L
اسم البرنامج المصاب والإصدارات المتأثرة Shopper الإصدارات من 2.0.0 إلى 2.9.1
Description يمكن للمستخدمين المصرح لهم الذين لديهم إذن access setting تنفيذ إجراءات تدميرية غير مصرح بها عبر نقطة نهاية Livewire. يحدث هذا لأن أربعة مكونات Livewire في منطقة الإعدادات لا تفرض تفويضًا من جانب الخادم لإجراءات الحذف والتحرير. يمكن للمهاجم حذف خيارات الناقل، ومناطق الشحن، والمناطق الضريبية، ومعدلات الضرائب، مما يؤدي إلى تعطيل عملية الدفع في المتجر من خلال تعطل حسابات أسعار الشحن، وإزالة طرق الدفع المحددة للمناطق، وفساد تحديد الضرائب.
المكونات المتأثرة وملفاتها المقابلة هي:
  • SettingsZonesZoneShippingOptions في packages/admin/src/Livewire/Components/Settings/Zones/ZoneShippingOptions.php
  • SettingsZonesDetail في packages/admin/src/Livewire/Components/Settings/Zones/Detail.php
  • SettingsTaxesDetail في packages/admin/src/Livewire/Components/Settings/Taxes/Detail.php
  • SettingsTaxesTaxRates في packages/admin/src/Livewire/Components/Settings/Taxes/TaxRates.php
في مكون ZoneShippingOptions ، تسمح وظيفة deleteAction() بحذف سجل باستخدام متغير id مقدم من العميل دون أي تحقق من الصلاحيات.
Recommendations تحديث Shopper إلى الإصدار 2.9.2. كإجراء تخفيف مؤقت، قم بتقييد إذن access setting ليكون متاحًا فقط لمستخدمي الإدارة الموثوقين للغاية.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
تصنيف نقاط الضعف
CWE-862: Missing Authorization
المعرّفات ذات الصلة
CVE-2026-56826
GHSA-F7H9-QV4X-9X57
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
dbugs@ptsecurity.com