PT-2026-2215 · Spree · Spree

Damianlegawiec · Publicado 2026-01-08 · Atualizado 2026-01-22 · CVE-2026-22589

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Spree anteriores a 4.10.2 Versões do Spree anteriores a 5.0.7 Versões do Spree anteriores a 5.1.9 Versões do Spree anteriores a 5.2.5

Descrição O Spree é uma solução de comércio eletrônico de código aberto construída com Ruby on Rails. Existe uma vulnerabilidade de Insecure Direct Object Reference (IDOR) não autenticada, permitindo que um atacante acesse informações de endereço de convidados sem credenciais válidas ou cookies de sessão. O problema afeta a API do Spree. Uma IDOR ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. Neste caso, um atacante pode manipular a entrada para acessar dados pertencentes a outros usuários. O componente vulnerável permite acesso às informações de endereço de convidados.

Recomendações Atualize o Spree para a versão 4.10.2 ou posterior. Atualize o Spree para a versão 5.0.7 ou posterior. Atualize o Spree para a versão 5.1.9 ou posterior. Atualize o Spree para a versão 5.2.5 ou posterior.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-22589

GHSA-3GHG-3787-W2XR

Produtos afetados

Spree

Referências · 17

• 🔥 https://github.com/spree/spree/security/advisories/GHSA-3ghg-3787-w2xr · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/22xxx/CVE-2026-22589.json · Exploit
• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/spree_core/CVE-2026-22589.yml · Exploit
• https://github.com/spree/spree · Nota
• https://github.com/spree/spree/commit/e1cff4605eb15472904602aebaf8f2d04852d6ad · Correção
• https://github.com/spree/spree/commit/d051925778f24436b62fa8e4a6b842c72ca80a67 · Correção
• https://github.com/spree/spree/commit/4c2bd62326fba0d846fd9e4bad2c62433829b3ad · Correção
• https://github.com/spree/spree/commit/16067def6de8e0742d55313e83b0fbab6d2fd795 · Correção
• https://t.me/cveNotify/149542 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-22589 · Aviso do Fabricante
• https://twitter.com/rubylandnews/status/2010099420835049716 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2009892318115991921 · Publicação no Twitter
• https://twitter.com/pulsepatchio/status/2009995770678915104 · Publicação no Twitter
• https://twitter.com/cracbot/status/2011755314060951676 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-22589 · Nota de Segurança