PT-2026-44942 · Shopper · Shopper

Baradika · Publicado 2026-05-18 · Atualizado 2026-05-29 · CVE-2026-47741

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Shopper versões anteriores a 2.8.0

Description Existe uma condição de corrida na função CreateOrderFromCartAction::execute(). O sistema cria uma linha de pedido antes de verificar e incrementar o contador total use de um desconto. Sob alta pressão de finalização de compra simultânea, como em vendas flash ou cupons virais, o usage limit global pode ser excedido. Isso permite que pedidos sejam confirmados com descontos totalmente aplicados ao price amount, mesmo após o contador atingir o usage limit, sem notificar o comerciante sobre o resgate excessivo.

Recommendations Atualizar para a versão 2.8.0.

Exploit

Correção

Race Condition

Enumeração de Fraquezas

CWE-362

Identificadores relacionados

CVE-2026-47741

GHSA-9RH9-HF3W-9FGG

Produtos afetados

Shopper

Referências · 10

• 🔥 https://github.com/shopperlabs/shopper/issues/510 · Exploit
• https://github.com/shopperlabs/shopper/commit/fcd0c5920588702df5b874f432b1042abd77a50b · Nota
• https://github.com/shopperlabs/shopper/security/advisories/GHSA-9rh9-hf3w-9fgg · Nota
• https://github.com/shopperlabs/shopper · Nota
• https://github.com/shopperlabs/shopper/releases/tag/v2.8.0 · Nota
• https://github.com/shopperlabs/shopper/pull/511 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-47741 · Nota de Segurança
• https://twitter.com/CVEnew/status/2060470693632803186 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2060471454777393338 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-9rh9-hf3w-9fgg · Aviso do Fabricante