PT-2026-120574

CVE-2026-114387

Publicado

2026-10-21

Atualizado

2026-10-21

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Shopper versões 2.0.0 through 2.5.9

Description Uma falha de autorização ausente permite que usuários com privilégios access dashboard criem contas de administrador e concedam permissões. Isso é feito chamando diretamente as funções CreateTeamMember::store() ou Permissions::togglePermission() através do endpoint /livewire/update, resultando na escalação de privilégios para administrador total.

Recommendations Atualize o Shopper para a versão 2.6.0 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint /livewire/update para usuários com privilégios limitados de painel.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Leediay153

Lighthousekeeper1212

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

Identificadores relacionados