CVE-2026-62990

Nome do Software Vulnerável e Versões Afetadas Shopper versões 2.0.0 até 2.10.0 Shopper versões 3.0.0-beta.1 até 3.0.0-beta.2

Descrição Funcionários do back-office autenticados com permissões de upload de conteúdo podem armazenar mídia executável na origem do administrador. Na implementação 2.x, permissões como edit products ou add brands permitem o upload de image/svg+xml via packages/admin/config/media.php. Além disso, a coleção de arquivos de produtos em packages/admin/src/Livewire/Components/Products/Form/Files.php não possui restrições de MIME e aceita text/html. Como a mídia é servida inline do diretório /storage/ sem uma Content-Security-Policy ou Content-Disposition: attachment, a abertura desses arquivos executa scripts armazenados na sessão do administrador. Na versão 2.x, isso pode ser usado para chamar a função store() em packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php, que confia no role id fornecido pelo cliente para criar uma nova conta de administrador com uma senha escolhida. Isso permite que um invasor obtenha acesso total aos dados dos clientes, pedidos, configurações e gerenciamento de usuários. Nas pré-versões 3.x, embora o SVG seja excluído, arquivos de produtos executáveis ainda são permitidos.

Recomendações Atualizar as versões do Shopper 2.0.0 até 2.10.0 para a versão 2.10.1. Atualizar as versões do Shopper 3.0.0-beta.1 até 3.0.0-beta.2 para a versão 3.0.0-beta.3.