CVE-2026-32271
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Craft Commerce w wersjach 4.0.0–4.10.2 i 5.0.0–5.5.4 zawiera podatność na wstrzyknięcie SQL w widgecie TotalRevenue, która pozwala każdemu uwierzytelnionemu użytkownikowi panelu sterowania na zdalne wykonanie kodu poprzez czteroetapowy łańcuch exploitacji. Atak wykorzystuje nieoczyszczone ustawienia widgetu interpolowane do wyrażeń SQL oraz domyślne wsparcie PDO dla zapytań wieloinstrukcjnych, aby wstrzyknąć złośliwy serializowany obiekt PHP do tabeli kolejki, co prowadzi do zapisu webshella PHP w katalogu webroot serwera.
Ocena ryzyka
Uwierzytelniony użytkownik panelu sterowania może wykonać dowolne polecenia jako użytkownik procesu PHP, co prowadzi do pełnego przejęcia serwera. Łańcuch wymaga tylko trzech żądań HTTP i nie wymaga uprawnień administracyjnych.
Rekomendacja
Zaktualizuj Craft Commerce do wersji 4.10.3 lub 5.5.5, które naprawiają podatność. Do czasu aktualizacji ogranicz dostęp do panelu sterowania i monitoruj nietypowe zadania w kolejce.
Inne podatności w Craft Commerce
Zobacz wszystkie- CVE-2026-55795Średnie
Craft Commerce to platforma e-commerce dla Craft CMS. Od wersji 4.0.0 do 4.11.2 oraz 5.6.5, CartController w src/controllers/CartController.php aktywuje RateLimiter tylko wtedy, gdy podany jest parametr POST lub GET 'number'. Nieuwierzytelniony atakujący może wysyłać wartości couponCode do actionUpdateCart dla koszyka opartego na sesji, pomijając 'number', co uniemożliwia utworzenie tożsamości ograniczenia IP i pozwala na nieograniczone automatyczne zgadywanie i enumerację kodów kuponów. Problem naprawiono w wersjach 4.11.2 i 5.6.5.
- CVE-2026-32272Wysokie
Podatność SQL injection w Craft Commerce (wersje 5.0.0-5.5.4) występuje w właściwościach ProductQuery::hasVariant i VariantQuery::hasProduct, które omijają blokadę sanityzacji. Uwierzytelniony użytkownik panelu administracyjnego może wykorzystać ślepą iniekcję SQL do wyodrębnienia danych, w tym kluczy bezpieczeństwa, co umożliwia fałszowanie sesji administratora.
- CVE-2026-32270Niskie
Craft Commerce w wersjach 4.0.0–4.10.2 i 5.0.0–5.5.4 ujawnia dane zamówienia nieuwierzytelnionym użytkownikom, gdy podany numer zamówienia i sprawdzenie e-mail nie powiedzie się podczas anonimowej płatności. Odpowiedź błędu JSON zawiera zserializowany obiekt zamówienia z wrażliwymi polami, takimi jak e-mail klienta oraz adresy wysyłki i rozliczeniowy. Naprawiono w wersjach 4.11.0 i 5.6.0.
Oryginalny opis (angielski, źródło NVD)
Craft Commerce is an ecommerce platform for Craft CMS. In versions 4.0.0 through 4.10.2 and 5.0.0 through 5.5.4, there is an SQL injection vulnerability in the Commerce TotalRevenue widget which allows any authenticated control panel user to achieve remote code execution through a four-step exploitation chain. The attack exploits unsanitized widget settings interpolated into SQL expressions, combined with PDO's default multi-statement query support, to inject a maliciously serialized PHP object into the queue table. When the queue consumer processes the injected job, the unrestricted unserialize() call in yii2-queue instantiates a GuzzleHttp FileCookieJar gadget chain whose __destruct() method writes a PHP webshell to the server's webroot. The complete chain requires only three HTTP requests, no administrative privileges, and results in arbitrary command execution as the PHP process user, with queue processing triggered via an unauthenticated endpoint. This issue has been fixed in versions 4.10.3 and 5.5.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS