Unauthenticated Spree Commerce users can view completed guest orders by Order ID

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• spreecommerce spree5.0.8 öncesi
• spreecommerce spree5.1.0 ve sonrası · 5.1.10 öncesi
• spreecommerce spree5.2.0 ve sonrası · 5.2.7 öncesi
• spreecommerce spree5.3.0 ve sonrası · 5.3.2 öncesi

Üreticinin bildirdiği sürümler

Kaydı açan otorite (GitHub_M) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• spree spree

  • < 5.0.8, >= 5.1.0, < 5.1.10, >= 5.2.0, < 5.2.7, >= 5.3.0, < 5.3.2etkilenir

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2011-10019Spreecommerce < 0.60.2 Search Parameter RCE
  41Planlayın
• CVE-2011-10026Spreecommerce < 0.50.x API RCE
  38İzleyin
• CVE-2026-25758Spree allows unauthenticated users can access all guest addresses
  30İzleyin
• CVE-2026-22589Spree API has Unauthenticated IDOR - Guest Address
  30İzleyin
• CVE-2026-22588Spree API has Authenticated Insecure Direct Object Reference (IDOR) via Order Modification
  26İzleyin
• CVE-2020-26223Authorization bypass in Spree
  26İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Uç nokta kaydı istekte gelen kimlikle getiriyor, ama kaydın isteyen kullanıcıya ait olup olmadığını sormuyor.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Bu CWE için MITRE'de CAPEC/ATT&CK eşlemesi yok.