Към съдържанието
Търсене

CVE-2026-67347: vendurehq vendure, заобикаляне на вход и права

6.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Vendure through 3.7.1, fixed in commit f67ef5f, contains a cross-channel authorization bypass vulnerability in stock-location.service.ts and asset.service.ts update methods that allows channel-scoped administrators to modify other tenants' data. Attackers can supply global IDs of StockLocation or Asset entities from different channels to overwrite inventory locations or catalog assets belonging to other tenants without proper channel isolation validation.

Засегнати продукти

  • vendurehq vendure: до 3.7.1; f67ef5f621282b785a2708df468bc6d2b8d8115b

Вид слабост

История

  • 30 юли 2026 Публикувано

Други уязвимости в vendurehq vendure

Първоизточници

CVE-2026-67347: vendurehq vendure, заобикаляне на вход и права | freedomonline.bg