CVE-2026-55795
ŚrednieCVSS 6.9Streszczenie
Craft Commerce to platforma e-commerce dla Craft CMS. Od wersji 4.0.0 do 4.11.2 oraz 5.6.5, CartController w src/controllers/CartController.php aktywuje RateLimiter tylko wtedy, gdy podany jest parametr POST lub GET 'number'. Nieuwierzytelniony atakujący może wysyłać wartości couponCode do actionUpdateCart dla koszyka opartego na sesji, pomijając 'number', co uniemożliwia utworzenie tożsamości ograniczenia IP i pozwala na nieograniczone automatyczne zgadywanie i enumerację kodów kuponów. Problem naprawiono w wersjach 4.11.2 i 5.6.5.
Ocena ryzyka
Atakujący może przeprowadzić brute-force na kody kuponów, co może prowadzić do nieautoryzowanych zniżek lub wyczerpania zasobów serwera.
Rekomendacja
Zaktualizuj Craft Commerce do wersji 4.11.2 lub 5.6.5, które zawierają poprawkę.
Inne podatności w Craft Commerce
Zobacz wszystkie- CVE-2026-32272Wysokie
Podatność SQL injection w Craft Commerce (wersje 5.0.0-5.5.4) występuje w właściwościach ProductQuery::hasVariant i VariantQuery::hasProduct, które omijają blokadę sanityzacji. Uwierzytelniony użytkownik panelu administracyjnego może wykorzystać ślepą iniekcję SQL do wyodrębnienia danych, w tym kluczy bezpieczeństwa, co umożliwia fałszowanie sesji administratora.
- CVE-2026-32271Wysokie
Podatność SQL injection w Craft Commerce (wersje 4.0.0-4.10.2 i 5.0.0-5.5.4) w widżecie Commerce TotalRevenue umożliwia uwierzytelnionemu użytkownikowi panelu administracyjnego zdalne wykonanie kodu poprzez czteroetapowy łańcuch ataku. Atak wykorzystuje niesanityzowane ustawienia widżetu i domyślną obsługę wielu zapytań w PDO, co prowadzi do wstrzyknięcia złośliwego obiektu PHP do kolejki.
Oryginalny opis (angielski, źródło NVD)
Craft Commerce is an ecommerce platform for Craft CMS. From 4.0.0 until 4.11.2 and 5.6.5, CartController in src/controllers/CartController.php activates its RateLimiter only when the number POST or GET parameter is supplied. An unauthenticated attacker can submit couponCode values to actionUpdateCart for the session-based cart while omitting number, preventing creation of the IP rate-limit identity and allowing unlimited automated coupon-code guessing and enumeration. This issue is fixed in versions 4.11.2 and 5.6.5.