CVE-2026-94462

Nome do Software Vulnerável e Versões Afetadas Spree versões 5.4.0 até 5.4.3 Spree versões 5.5.0 até 5.5.3

Description Um cliente autenticado pode associar um carrinho de convidado elegível à sua própria conta e acessar os dados de endereço de cobrança e envio armazenados nesse carrinho. Isso ocorre porque o endpoint PATCH /api/v3/store/carts/:id/associate em Spree::Api::V3::Store::CartsController#associate usa a função find cart for association() para localizar um carrinho pelo seu prefixed id, mas não verifica a posse do carrinho por meio de um token. O prefixed id é gerado usando Sqids, uma codificação não criptográfica e reversível da chave primária, permitindo que um invasor derive IDs de carrinho válidos offline. Este problema é uma forma de controle de acesso quebrado conhecido como Insecure Direct Object Reference (IDOR), onde um usuário pode acessar objetos que não tem autorização para visualizar manipulando o identificador. A exploração requer um carrinho de convidado contendo dados de endereço em uma loja que não exija login para finalização de compra. Esta ação também pode interromper o carrinho em andamento do convidado original ao reatribuir a propriedade e sobrescrever o endereço de e-mail.

Recommendations Atualize o Spree para a versão 5.4.4. Atualize o Spree para a versão 5.5.4.