CVE-2026-94462

Spree: Broken Access Control in `PATCH /api/v3/store/carts/:id/associate` (IDOR)

CVSS 3.1High

7.1/ 10.0

Опубликовано

22 сентября 2026 г.

Обновлено

22 сентября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 5.4.4, 5.5.4

Обновите gem Spree до версий 5.4.5, 5.5.5 или выше.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Уязвимость IDOR в Spree API при привязке корзины. Авторизованный клиент может захватить гостевую корзину без подтверждения владения.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Контроллер Spree::Api::V3::Store::CartsController#associate в маршруте PATCH /api/v3/store/carts/:id/associate использует метод find_cart_for_association по prefixed_id, не требуя cart token для подтверждения прав владения.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Привязка чужой гостевой корзины к учетной записи атакующего, утечка адресов доставки и выставления счетов, а также срыв оформления заказа гостем.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

spreespree

>= 5.4.0➔Fix: 5.4.4

spreespree

>= 5.5.0➔Fix: 5.5.4

——

>= 5.4.0➔Fix: 5.4.4

——

>= 5.5.0➔Fix: 5.5.4

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)

github.comhttps://github.com/spree/spree/security/advisories/GHSA-4825-p4xm-pcf2
github.comhttps://github.com/spree/spree/pull/14314
github.comhttps://github.com/spree/spree/commit/8834230a1f47bb5988f23f45dbd162776cf592bd
github.comhttps://github.com/spree/spree/commit/af0d1a2d582a60d179de65b7d3ea024cb26426a8
github.comhttps://github.com/spree/spree/releases/tag/v5.4.4
github.comhttps://github.com/spree/spree/releases/tag/v5.5.4

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-94462: Spree: Broken Access Control in `PATCH /api/v3/store/carts/:id/associate` (IDOR). URL: https://cve.futuretools.ru/cve/CVE-2026-94462

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_94462,
  title = {{CVE-2026-94462: Spree: Broken Access Control in `PATCH /api/v3/store/carts/:id/associate` (IDOR)}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-94462}},
  note = {Оперативный инженерный анализ киберугроз}
}