PT-2026-2214 · Spree · Spree

Damianlegawiec · Publicado 2026-01-08 · Atualizado 2026-02-02 · CVE-2026-22588

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Spree anteriores a 4.10.2 Versões do Spree anteriores a 5.0.7 Versões do Spree anteriores a 5.1.9 Versões do Spree anteriores a 5.2.5

Descrição Spree é uma solução de comércio eletrônico de código aberto construída com Ruby on Rails. Existe uma vulnerabilidade de Referência Direta a Objeto Insegura (IDOR) Autenticada que permite que um usuário autenticado acesse informações de endereço pertencentes a outros usuários. Isso ocorre ao modificar um pedido existente e manipular identificadores de endereço dentro da requisição. O servidor back-end processa incorretamente essas referências, associando endereços de outros usuários ao pedido do atacante e retornando-os na resposta. O problema envolve a manipulação de identificadores de endereço em uma requisição para acessar dados de outros usuários.

Recomendações Atualize o Spree para a versão 4.10.2 ou posterior. Atualize o Spree para a versão 5.0.7 ou posterior. Atualize o Spree para a versão 5.1.9 ou posterior. Atualize o Spree para a versão 5.2.5 ou posterior.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-22588

GHSA-G268-72P7-9J6J

Produtos afetados

Spree

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/22xxx/CVE-2026-22588.json · Exploit
• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/spree_api/CVE-2026-22588.yml · Exploit
• https://github.com/spree/spree · Nota
• https://github.com/spree/spree/commit/b409c0fd327e7ce37f63238894670d07079eefe8 · Correção
• https://github.com/spree/spree/commit/02acabdce2c5f14fd687335b068d901a957a7e72 · Correção
• https://github.com/spree/spree/commit/d3f961c442e0015661535cbd6eb22475f76d2dc7 · Correção
• https://github.com/spree/spree/commit/17e78a91b736b49dbea8d1bb1223c284383ee5f3 · Correção
• https://github.com/spree/spree/security/advisories/GHSA-g268-72p7-9j6j · Aviso do Fabricante
• https://twitter.com/rubylandnews/status/2010099421623538008 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2009431536425107550 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2009462334151131644 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-g268-72p7-9j6j · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-22588 · Aviso do Fabricante
• https://t.me/cveNotify/150587 · Publicação no Telegram
• https://t.me/CVEtracker/41774 · Publicação no Telegram