CVE-2026-67347
ŚrednieCVSS 6.8Streszczenie
Podatność w Vendure (do wersji 3.7.1) umożliwia administratorom z ograniczeniem do kanału (channel-scoped) modyfikację danych innych dzierżawców (tenantów) poprzez ominięcie walidacji izolacji kanałów. Atak polega na podaniu globalnych identyfikatorów encji StockLocation lub Asset z innych kanałów.
Ocena ryzyka
Ryzyko obejmuje możliwość nieautoryzowanego nadpisania lokalizacji magazynowych lub zasobów katalogowych należących do innych dzierżawców, co może prowadzić do naruszenia integralności danych i poufności.
Rekomendacja
Należy zastosować poprawkę z commit f67ef5f lub zaktualizować Vendure do wersji zawierającej tę poprawkę.
Inne podatności w Vendure
Zobacz wszystkie- CVE-2026-63461Średnie
W Vendure przed wersją 3.6.5 publiczne zapytania Shop API dotyczące produktów, kolekcji i aspektów łączą obowiązkowe filtry widoczności z filtrami dostarczonymi przez wywołującego za pomocą kontrolowanego przez niego filterOperator. Gdy filterOperator ma wartość OR, predykat dopasowujący ukrytą encję może ominąć zabezpieczenia Product.enabled, Collection.isPrivate lub Facet.isPrivate. Nieuwierzytelniony wywołujący może w ten sposób pobrać wyłączone produkty oraz prywatne kolekcje lub aspekty.
- CVE-2026-63460Wysokie
Vendure w wersjach przed 3.6.5 pozwala nieuwierzytelnionemu użytkownikowi przesłać wzorzec wyrażenia regularnego powodujący katastrofalne cofanie się (catastrophic backtracking) przez StringOperators.regex w publicznym API GraphQL Shop. Wdrożenia oparte na better-sqlite3 i sqljs wykonują to wyrażenie synchronicznie w pętli zdarzeń Node.js, co może zablokować przetwarzanie żądań. Podatność została naprawiona w wersji 3.6.5.
- CVE-2026-63459Wysokie
Vendure w wersjach przed 3.6.5 zawiera podatność typu stored XSS w komponencie RichTextDescriptionCell, który przypisuje kontrolowany przez administratora opis do innerHTML elementu, a następnie odczytuje textContent. Złośliwy znacznik może wykonać obsługę zdarzenia podczas przypisania do innerHTML, zanim odczytany zostanie textContent. Administrator o niższych uprawnieniach może zapisać taki znacznik w opisach widocznych na listach produktów, kolekcji, promocji, metod płatności lub metod wysyłki, a skrypt wykona się, gdy inny administrator wyświetli dany wiersz.
- CVE-2026-63472Krytyczne
W Vendure funkcja createCustomerAndUser w zewnętrznym uwierzytelnianiu pobiera istniejące konto po adresie e-mail i łączy z nim nową metodę uwierzytelniania bez weryfikacji właściciela e-maila. Atakujący może użyć niezweryfikowanego e-maila, aby przejąć konto ofiary.
Oryginalny opis (angielski, źródło NVD)
Vendure through 3.7.1, fixed in commit f67ef5f, contains a cross-channel authorization bypass vulnerability in stock-location.service.ts and asset.service.ts update methods that allows channel-scoped administrators to modify other tenants' data. Attackers can supply global IDs of StockLocation or Asset entities from different channels to overwrite inventory locations or catalog assets belonging to other tenants without proper channel isolation validation.