CVE-2026-62989

Nome do Software Vulnerável e Versões Afetadas Shopper versões anteriores a 2.10.0

Description O componente Livewire Variants em packages/admin/src/Livewire/Components/Products/Form/Variants.php carece de autorização no lado do servidor para DeleteAction e DeleteBulkAction. Um usuário de equipe autenticado com permissões edit products pode acessar o endpoint /shopper/products/{id}/edit para obter o estado assinado do componente. Subsequentemente, os caminhos callTableAction e callTableBulkAction permitem a exclusão permanente de variantes de produtos individuais ou múltiplos sem verificar a permissão delete product variants. Isso pode levar à destruição do catálogo de vendas e à interrupção das páginas de produtos da loja, do carrinho e dos processos de checkout.

Recommendations Atualizar para a versão 2.10.0.