CVE-2026-94462

WysokieCVSS 7.1

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Spree to open source'owe rozwiązanie e-commerce zbudowane na Ruby on Rails. Od wersji 5.4.0 do 5.4.4 oraz 5.5.4, endpoint PATCH /api/v3/store/carts/:id/associate w Spree::Api::V3::Store::CartsController#associate używa find_cart_for_association do lokalizacji koszyka po prefixed_id, ale nie wymaga tokenu koszyka ani nie weryfikuje posiadania wybranego koszyka gościa. Uwierzytelniony klient może wyprowadzić odwracalne identyfikatory koszyków, przypisać kwalifikujący się koszyk gościa do konta atakującego i otrzymać dane adresowe rozliczeniowe i dostawy z koszyka. Eksploatacja wymaga koszyka gościa z danymi adresowymi w sklepie, który nie wymaga logowania do realizacji zamówienia, a ponowne przypisanie może również zakłócić trwający koszyk gościa. Problem został naprawiony w wersjach 5.4.4 i 5.5.4.

Ocena ryzyka

Atakujący może uzyskać dostęp do danych adresowych klientów, co narusza prywatność i może prowadzić do kradzieży danych osobowych. Dodatkowo może zakłócać proces zakupowy użytkowników.

Rekomendacja

Zaleca się aktualizację Spree do wersji 5.4.4 lub 5.5.4, aby wyeliminować podatność.

Inne podatności w Spree

CVE-2026-22589Wysokie
W Spree, platformie e-commerce opartej na Ruby on Rails, przed wersjami 4.10.2, 5.0.7, 5.1.9 i 5.2.5 wykryto podatność IDOR (Insecure Direct Object Reference). Pozwala ona nieuwierzytelnionemu atakującemu na dostęp do danych adresowych gości bez podawania ważnych poświadczeń lub ciasteczek sesji.

Oryginalny opis (angielski, źródło NVD)

Spree is an open source e-commerce solution built with Ruby on Rails. From 5.4.0 until 5.4.4 and 5.5.4, PATCH /api/v3/store/carts/:id/associate in Spree::Api::V3::Store::CartsController#associate uses find_cart_for_association to locate a cart by prefixed_id but does not require a cart token or otherwise verify possession of the selected guest cart. An authenticated customer can derive reversible prefixed cart IDs, associate an eligible guest cart with the attacker's account, and receive billing and shipping address data from the cart. Exploitation requires a guest cart with address data on a store that does not require login for checkout, and reassignment can also disrupt the guest's in-progress cart. This issue is fixed in versions 5.4.4 and 5.5.4.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS