CVE-2026-56826

Nome do Software Vulnerável e Versões Afetadas Shopper versões 2.0.0 through 2.9.1

Description Usuários autenticados com a permissão access setting podem realizar ações destrutivas não autorizadas através do endpoint Livewire. Isso ocorre porque quatro componentes Livewire na área de Configurações não impõem a autorização no lado do servidor para ações de exclusão e edição. Um invasor pode excluir opções de transportadora, zonas de envio, zonas fiscais e taxas fiscais, o que interrompe o processo de checkout da loja ao quebrar os cálculos de tarifas de envio, remover métodos de pagamento vinculados a regiões e corromper a resolução de impostos.

Os componentes afetados e seus respectivos arquivos são:

No componente ZoneShippingOptions, a função deleteAction() permite a exclusão de um registro usando uma variável id fornecida pelo cliente sem qualquer verificação de permissão.

Recommendations Atualize o Shopper para a versão 2.9.2. Como mitigação temporária, restrinja a permissão access setting apenas a usuários administrativos altamente confiáveis.