CVE-2026-25758
Spree allows unauthenticated users can access all guest addresses
CVSS 3.1High
7.7/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 4.10.3, 5.0.8, 5.1.10, 5.2.7, 5.3.2
Обновить Spree до версий 4.10.3, 5.0.8, 5.1.10, 5.2.7 или 5.3.2 в зависимости от используемой ветки.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Небезопасная прямая ссылка на объект (IDOR) в механизме гостевого оформления заказа Spree Commerce.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В контроллерах гостевого чекаута отсутствует проверка владения адресом. Подмена идентификаторов параметров адреса связывает чужие записи с текущим заказом.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Несанкционированный доступ к персональным данным (PII) клиентов: именам, физическим адресам доставки и номерам телефонов.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
spreespree
все ранние➔Fix: 4.10.3
spreespree
>= 5.0.0➔Fix: 5.0.8
spreespree
>= 5.1.0.beta➔Fix: 5.1.10
spreespree
>= 5.2.0.rc1➔Fix: 5.2.7
spreespree
>= 5.3.0.rc2➔Fix: 5.3.2
——
>= 0➔Fix: 4.10.3
——
>= 5.0.0➔Fix: 5.0.8
——
>= 5.1.0➔Fix: 5.1.10
——
>= 5.2.0➔Fix: 5.2.7
——
>= 5.3.0➔Fix: 5.3.2
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (10)
- github.comhttps://github.com/spree/spree/security/advisories/GHSA-87fh-rc96-6fr6
- github.comhttps://github.com/spree/spree/commit/15619618e43b367617ec8d2d4aafc5e54fa7b734
- github.comhttps://github.com/spree/spree/commit/29282d1565ba4f7bc2bbc47d550e2c0c6d0ae59f
- github.comhttps://github.com/spree/spree/commit/6650f96356faa0d16c05bcb516f1ffd5641741b8
- github.comhttps://github.com/spree/spree/commit/902d301ac83fd2047db1b9a3a99545162860f748
- github.comhttps://github.com/spree/spree/commit/ff7cfcfcfe0c40c60d03317e1d0ee361c6a6b054
- github.comhttps://github.com/spree/spree/blob/1341623f2ae92685cdbe232885bf5808fc8f9ca8/core/app/models/spree/order/address_book.rb#L16-L38
- github.comhttps://github.com/spree/spree/blob/1341623f2ae92685cdbe232885bf5808fc8f9ca8/core/app/models/spree/order/checkout.rb#L241-L254
- github.comhttps://github.com/spree/spree/blob/1341623f2ae92685cdbe232885bf5808fc8f9ca8/core/app/services/spree/checkout/update.rb#L33-L48
- github.comhttps://github.com/spree/spree/blob/1341623f2ae92685cdbe232885bf5808fc8f9ca8/core/lib/spree/permitted_attributes.rb#L92-L96
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-25758: Spree allows unauthenticated users can access all guest addresses. URL: https://cve.futuretools.ru/cve/CVE-2026-25758
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_25758,
title = {{CVE-2026-25758: Spree allows unauthenticated users can access all guest addresses}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-25758}},
note = {Оперативный инженерный анализ киберугроз}
}