CVE-2026-56827
Shopper: Authorization bypass in Filament bulk actions allows browse-only staff to mass-delete attributes/tags and mass-toggle visibility of brands/categories/suppliers
CVSS 3.1High
8.1/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.9.2
Обновите пакет shopper/admin до версии 2.9.2 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Обход авторизации в пакетных действиях Filament панели управления Shopper.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Компоненты groupedBulkActions в контроллерах страниц Attribute, Tag, Brand, Category и Supplier не выполняют проверку прав на сервере, требуя от оператора лишь права на просмотр (browse_*).
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Пользователь с правами только на просмотр может вызывать DeleteBulkAction и BulkAction::make для массового удаления или изменения статусов сущностей.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
shopperlabsshopper
все ранние➔Fix: 2.9.2
——
>= 0➔Fix: 2.9.2
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/shopperlabs/shopper/security/advisories/GHSA-243p-f3cv-c5wh
- github.comhttps://github.com/shopperlabs/shopper/pull/570
- github.comhttps://github.com/shopperlabs/shopper/commit/bf72e2753e21296184596d507336c7d65ecd46ff
- github.comhttps://github.com/shopperlabs/shopper/releases/tag/v2.9.2
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-56827: Shopper: Authorization bypass in Filament bulk actions allows browse-only staff to mass-delete attributes/tags and mass-toggle visibility of brands/categories/suppliers. URL: https://cve.futuretools.ru/cve/CVE-2026-56827
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_56827,
title = {{CVE-2026-56827: Shopper: Authorization bypass in Filament bulk actions allows browse-only staff to mass-delete attributes/tags and mass-toggle visibility of brands/categories/suppliers}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-56827}},
note = {Оперативный инженерный анализ киберугроз}
}