CVE-2026-67347

Nome do Software Vulnerável e Versões Afetadas Vendure versões anteriores a 3.7.2

Descrição Existe uma falha de bypass de autorização nos métodos de atualização de stock-location.service.ts e asset.service.ts. Este problema permite que administradores com escopo de canal modifiquem dados pertencentes a outros locatários (tenants) ao fornecer IDs globais de entidades StockLocation ou Asset de canais diferentes. A falha ocorre porque o sistema não realiza a validação adequada de isolamento de canal, permitindo a sobrescrita de locais de inventário ou ativos de catálogo entre diferentes locatários.

Recomendações Atualize para a versão 3.7.2 ou posterior.