- Yama var
- Son 7 gün
- CWE-285
- CWE-862
CVE-2026-62989
Shopper Variants bileşeninde varyant silme yetkilendirme eksikliği
- Yayımlandı
- Güncellendi
- 31 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, yetkisi sınırlı bir çalışanın mağazanızda satışa sunulan ürün varyantlarını kalıcı olarak silmesine olanak tanıyabilir. Bu da satış kaybı ve müşteri deneyiminde bozulma riski anlamına gelir. Sürümün güncellenmesi ve çalışan yetkilerinin gözden geçirilmesi acil öncelik taşır.
ÖzetTürkçe
Shopper'ın 2.10.0 öncesi sürümlerinde, ürün varyantlarını yöneten Variants Livewire bileşeni silme işlemlerinde sunucu tarafı yetki kontrolü yapmıyor. edit_products yetkisine sahip, kimliği doğrulanmış bir personel kullanıcısı delete_product_variants yetkisi olmadan da tekil veya toplu varyant silme işlemlerini tetikleyebiliyor. Etkilenen sistemler, Shopper'ın 2.10.0 öncesi sürümlerini kullanan tüm kurulumlardır.
Saldırgan ne yapabilir?
Yetkisiz personel satıştaki ürün varyantlarını kalıcı olarak silerek katalog bütünlüğünü bozabilir. Bu durum mağazadaki ürün sayfalarında, sepette ve ödeme sürecinde aksamalara yol açabilir.
Kaynaktaki açıklama (İngilizce)
Shopper is a Headless e-commerce Admin Panel. Prior to 2.10.0, the Variants Livewire component in packages/admin/src/Livewire/Components/Products/Form/Variants.php exposes DeleteAction and DeleteBulkAction without server-side authorization. An authenticated staff user with edit_products can access /shopper/products/{id}/edit and obtain the signed component state even without delete_product_variants. The callTableAction and callTableBulkAction paths then permanently delete individual or multiple variants without checking that dedicated permission. For variant products, this can destroy the sellable catalogue and disrupt storefront product pages, cart, and checkout. This issue is fixed in version 2.10.0.
Ne yapmalı?
- Shopper'ı 2.10.0 veya daha yeni bir sürüme yükseltin. Üretici
- Güncelleme yapılana kadar ürün düzenleme yetkisi (edit_products) verilen kullanıcı sayısını yalnızca güvenilir personelle sınırlandırın. Genel öneri
- Güncelleme öncesinde ürün veritabanının yedeğini alın ve son dönemdeki varyant silme işlemlerini uygulama ve veritabanı kayıtlarından inceleyin. Genel öneri
- Güncellemeden sonra, delete_product_variants yetkisi olmayan bir kullanıcının varyant silemediğini test ederek doğrulayın. Genel öneri
Ek önlemler
- Yönetim paneli kullanıcılarına en az yetki ilkesini uygulayın ve gereksiz düzenleme yetkilerini kaldırın. Genel öneri
- Ürün ve varyant silme işlemlerini izleyin; beklenmeyen tekil veya toplu silmeler için uyarı oluşturun. Genel öneri
- Düzenli veritabanı yedekleri alın ve geri yükleme sürecini periyodik olarak test edin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| shopperlabs shopper | < 2.10.0 | 2.10.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.