PT-2026-90544

CVE-2026-56828

Publicado

2026-09-11

Atualizado

2026-10-28

Descrição por

CVSS 3.1

8.8

Alta

MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Shopper versão 2.8.0

Description Três componentes de administração Livewire contêm falhas de autorização que permitem que um membro da equipe com apenas as permissões view users e access dashboard execute ações privilegiadas. Esta autorização inadequada permite que um invasor escale seus próprios privilégios concedendo permissões arbitrárias ao seu cargo, crie uma nova conta de administrador com uma senha escolhida ou exclua cargos e definições de permissões, levando a uma negação de serviço de Controle de Acesso Baseado em Função (RBAC).

Os detalhes técnicos dos componentes afetados são os seguintes:

Em packages/admin/src/Livewire/Components/Settings/Team/Permissions.php, as funções togglePermission() e removePermission() autorizam incorretamente a permissão view users em vez da permissão access setting necessária. Além disso, o arquivo packages/admin/resources/views/livewire/components/settings/team/permissions.blade.php expõe IDs de permissão em manipuladores wire:click.
Em packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php, as funções mount() e store() aceitam a permissão view users, permitindo a criação de um administrador pré-verificado através da variável role id.
Em packages/admin/src/Livewire/Pages/Settings/Team/RolePermission.php, a função deleteAction não possui autorização de ação e apenas verifica se o cargo pode ser removido, enquanto o acesso à página é concedido via view users.

Recommendations Atualize o Shopper para a versão 2.8.1. Como solução temporária, restrinja a permissão view users apenas a pessoal altamente confiável até que a atualização seja aplicada.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Therawdev

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-285: Improper Authorization

CWE-862: Missing Authorization

Identificadores relacionados