PT-2026-44943 · Shopper · Shopper

Baradika · Publicado 2026-05-29 · Atualizado 2026-06-05 · CVE-2026-47742

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Shopper versões anteriores a 2.8.0

Descrição Componentes Livewire de subformulário no editor de produtos — especificamente aqueles que lidam com Edição, Inventário, Seo, Envio e Arquivos — não possuem autorização em seu método store(). Isso permite que qualquer usuário autenticado no painel, independentemente de sua função, altere o preço do produto, estoque, metadados de SEO, dimensões de envio e mídias anexadas sem possuir a permissão edit products. Além disso, esses componentes aceitam o ID do produto como uma propriedade pública do Livewire que não está protegida pelo atributo #[Locked], permitindo que um invasor direcione produtos arbitrários manipulando o payload wire do lado do cliente.

Recomendações Atualizar para a versão 2.8.0.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-47742

GHSA-H4MP-G9C6-XWPH

Produtos afetados

Shopper

Referências · 7

• https://github.com/shopperlabs/shopper/security/advisories/GHSA-h4mp-g9c6-xwph · Nota
• https://github.com/shopperlabs/shopper · Nota
• https://github.com/shopperlabs/shopper/pull/511 · Nota
• https://osv.dev/vulnerability/GHSA-h4mp-g9c6-xwph · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-47742 · Nota de Segurança
• https://twitter.com/CVEnew/status/2060470694790500836 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2060471471315517581 · Publicação no Twitter