Shopper: Fehlende Autorisierung ermöglicht Rechteausweitung zum Administrator

Zusammenfassung

Shopper 2.0.0 bis vor 2.6.0 enthält in den Team- und Berechtigungs-Livewire-Komponenten keine Autorisierungsprüfung. Ein Benutzer des Admin-Panels, der nur die Berechtigung access_dashboard besitzt, kann Administratorkonten erstellen und Berechtigungen vergeben, etwa durch direkten Aufruf der Komponentenmethoden über /livewire/update. Dadurch erlangt er die volle Administratorkontrolle über den Shop, einschliesslich Kunden- und zahlungsbezogener Daten. Der Angreifer benötigt ein gültiges Admin-Panel-Login, daher ist das Risiko vor allem dort relevant, wo Mitarbeitende, Dienstleister oder kompromittierte Konten Zugriff auf das Admin-Panel haben.

Betroffen

• Shopper 2.0.0 bis und mit 2.5.x (bis vor 2.6.0)
• Versionen ab 2.6.0 sind von dieser CVE nicht betroffen

Behoben in

• Shopper 2.6.0 (gemäss CVE-Eintrag, VulnCheck und VulDB; anhand der GitHub-Release-Notes prüfen)

Umgehung

• Kein Workaround vom Hersteller bekannt.
• Die Berechtigung access_dashboard nur wenigen Benutzern zuweisen.
• Den Zugriff auf das Admin-Panel auf vertrauenswürdige Netzwerke oder VPN beschränken.

Ausnutzung

• Kein öffentlicher Proof of Concept gefunden.
• Ein Aggregator meldet Ausnutzungsversuche; dies ist nicht verifiziert.
• Von einem Drittanbieter-Tracker nicht als bekannt ausgenutzt gelistet; der CISA-KEV-Katalog wurde nicht direkt geprüft.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, ob Shopper eingesetzt wird und welche Version in der Composer-Lock-Datei (shopper/framework) steht.
• Mindestens auf 2.6.0 aktualisieren, vorzugsweise auf die neueste Version, welche auch CVE-2026-56826 und CVE-2026-56828 abdeckt.
• Admin- und Teamkonten seit dem 21. Oktober 2026 auf unerwartete Ergänzungen und Berechtigungsänderungen prüfen.
• Admin-Panel-Zugriff nach Möglichkeit über Netzwerk, VPN oder MFA einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-114387 VulnCheck advisory www.vulncheck.com
• Shopper release v2.6.0 github.com
• Shopper fix commit d1ac6cee github.com
• Permissions.php at v2.5.0 github.com
• CreateTeamMember.php at v2.5.0 github.com
• VulDB entry 424787 vuldb.com
• CVE-2026-56826 GitLab advisory advisories.gitlab.com
• CVE-2026-56828 Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:02.