CVE-2026-55795
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Craft Commerce to platforma e-commerce dla Craft CMS. Od wersji 4.0.0 do 4.11.2 oraz 5.6.5, CartController w src/controllers/CartController.php aktywuje RateLimiter tylko wtedy, gdy podany jest parametr POST lub GET 'number'. Nieuwierzytelniony atakujący może wysyłać wartości couponCode do actionUpdateCart dla koszyka opartego na sesji, pomijając 'number', co uniemożliwia utworzenie tożsamości ograniczenia IP i pozwala na nieograniczone automatyczne zgadywanie i enumerację kodów kuponów. Problem naprawiono w wersjach 4.11.2 i 5.6.5.
Ocena ryzyka
Atakujący może przeprowadzić brute-force na kody kuponów, co może prowadzić do nieautoryzowanych zniżek lub wyczerpania zasobów serwera.
Rekomendacja
Zaktualizuj Craft Commerce do wersji 4.11.2 lub 5.6.5, które zawierają poprawkę.
Inne podatności w Craft Commerce
Zobacz wszystkie- CVE-2026-32272Wysokie
Podatność SQL injection w Craft Commerce (wersje 5.0.0-5.5.4) występuje w właściwościach ProductQuery::hasVariant i VariantQuery::hasProduct, które omijają blokadę sanityzacji. Uwierzytelniony użytkownik panelu administracyjnego może wykorzystać ślepą iniekcję SQL do wyodrębnienia danych, w tym kluczy bezpieczeństwa, co umożliwia fałszowanie sesji administratora.
- CVE-2026-32271Wysokie
Craft Commerce w wersjach 4.0.0–4.10.2 i 5.0.0–5.5.4 zawiera podatność na wstrzyknięcie SQL w widgecie TotalRevenue, która pozwala każdemu uwierzytelnionemu użytkownikowi panelu sterowania na zdalne wykonanie kodu poprzez czteroetapowy łańcuch exploitacji. Atak wykorzystuje nieoczyszczone ustawienia widgetu interpolowane do wyrażeń SQL oraz domyślne wsparcie PDO dla zapytań wieloinstrukcjnych, aby wstrzyknąć złośliwy serializowany obiekt PHP do tabeli kolejki, co prowadzi do zapisu webshella PHP w katalogu webroot serwera.
- CVE-2026-32270Niskie
Craft Commerce w wersjach 4.0.0–4.10.2 i 5.0.0–5.5.4 ujawnia dane zamówienia nieuwierzytelnionym użytkownikom, gdy podany numer zamówienia i sprawdzenie e-mail nie powiedzie się podczas anonimowej płatności. Odpowiedź błędu JSON zawiera zserializowany obiekt zamówienia z wrażliwymi polami, takimi jak e-mail klienta oraz adresy wysyłki i rozliczeniowy. Naprawiono w wersjach 4.11.0 i 5.6.0.
Oryginalny opis (angielski, źródło NVD)
Craft Commerce is an ecommerce platform for Craft CMS. From 4.0.0 until 4.11.2 and 5.6.5, CartController in src/controllers/CartController.php activates its RateLimiter only when the number POST or GET parameter is supplied. An unauthenticated attacker can submit couponCode values to actionUpdateCart for the session-based cart while omitting number, preventing creation of the IP rate-limit identity and allowing unlimited automated coupon-code guessing and enumeration. This issue is fixed in versions 4.11.2 and 5.6.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS