CVE-2026-32270
NiskieCVSS 1.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Craft Commerce w wersjach 4.0.0–4.10.2 i 5.0.0–5.5.4 ujawnia dane zamówienia nieuwierzytelnionym użytkownikom, gdy podany numer zamówienia i sprawdzenie e-mail nie powiedzie się podczas anonimowej płatności. Odpowiedź błędu JSON zawiera zserializowany obiekt zamówienia z wrażliwymi polami, takimi jak e-mail klienta oraz adresy wysyłki i rozliczeniowy. Naprawiono w wersjach 4.11.0 i 5.6.0.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dane osobowe klientów (e-mail, adresy), co może prowadzić do naruszenia prywatności i phishingu. Wymaga znajomości numeru zamówienia.
Rekomendacja
Zaktualizuj Craft Commerce do wersji 4.11.0 lub 5.6.0 (lub nowszej). Do czasu aktualizacji rozważ ograniczenie dostępu do endpointu actionPay.
Inne podatności w Craft Commerce
Zobacz wszystkie- CVE-2026-55795Średnie
Craft Commerce to platforma e-commerce dla Craft CMS. Od wersji 4.0.0 do 4.11.2 oraz 5.6.5, CartController w src/controllers/CartController.php aktywuje RateLimiter tylko wtedy, gdy podany jest parametr POST lub GET 'number'. Nieuwierzytelniony atakujący może wysyłać wartości couponCode do actionUpdateCart dla koszyka opartego na sesji, pomijając 'number', co uniemożliwia utworzenie tożsamości ograniczenia IP i pozwala na nieograniczone automatyczne zgadywanie i enumerację kodów kuponów. Problem naprawiono w wersjach 4.11.2 i 5.6.5.
- CVE-2026-32272Wysokie
Podatność SQL injection w Craft Commerce (wersje 5.0.0-5.5.4) występuje w właściwościach ProductQuery::hasVariant i VariantQuery::hasProduct, które omijają blokadę sanityzacji. Uwierzytelniony użytkownik panelu administracyjnego może wykorzystać ślepą iniekcję SQL do wyodrębnienia danych, w tym kluczy bezpieczeństwa, co umożliwia fałszowanie sesji administratora.
- CVE-2026-32271Wysokie
Craft Commerce w wersjach 4.0.0–4.10.2 i 5.0.0–5.5.4 zawiera podatność na wstrzyknięcie SQL w widgecie TotalRevenue, która pozwala każdemu uwierzytelnionemu użytkownikowi panelu sterowania na zdalne wykonanie kodu poprzez czteroetapowy łańcuch exploitacji. Atak wykorzystuje nieoczyszczone ustawienia widgetu interpolowane do wyrażeń SQL oraz domyślne wsparcie PDO dla zapytań wieloinstrukcjnych, aby wstrzyknąć złośliwy serializowany obiekt PHP do tabeli kolejki, co prowadzi do zapisu webshella PHP w katalogu webroot serwera.
Oryginalny opis (angielski, źródło NVD)
Craft Commerce is an ecommerce platform for Craft CMS. In versions 4.0.0 through 4.10.2 and 5.0.0 through 5.5.4, the PaymentsController::actionPay discloses some order data to unauthenticated users when an order number is provided and the email check fails during an anonymous payment. The JSON error response includes the serialized order object (order), which contains some sensitive fields such as customer email, shipping address, and billing address. The frontend payment flow's actionPay() retrieves orders by number before authorization is fully enforcedLoad order by number. This issue has been fixed in versions 4.11.0 and 5.6.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS