Shopper Admin Panel: Rechteausweitung durch fehlende Autorisierung in Team-Einstellungen
Zusammenfassung
Shopper, ein headless E-Commerce-Admin-Panel, enthält fehlende Autorisierungsprüfungen in drei Livewire-Admin-Komponenten. Ein Mitarbeitender mit nur den Berechtigungen view_users und access_dashboard kann Rollenberechtigungen ändern, einen vorverifizierten Administrator mit eigenem Passwort anlegen oder entfernbare Rollen löschen. Erfolgreiche Ausnutzung führt zu vollständiger Administratorkontrolle oder sperrt Benutzende aus, denen eine gelöschte Rolle zugewiesen war.
Betroffen
- shopper/framework (Composer) von 2.8.0 bis 2.8.1 gemäss CVE-Eintrag
- Die Advisory-Spiegel listen den betroffenen Bereich bis zu, aber ohne, 2.9.2
- Unbekannt, ob der Fix in 2.8.1 vollständig ist
Behoben in
- Behoben in 2.8.1 gemäss CVE-Eintrag und Versionshinweisen des Herstellers
- Empfohlenes Ziel: 2.9.2 oder neuer, da der Advisory-Bereich über 2.8.1 hinausgeht
Umgehung
- Das Einspielen des Updates ist die Behebung; ein vom Hersteller veröffentlicher Workaround ist nicht bekannt.
- Falls ein Update nicht sofort möglich ist, den Zugriff auf das Admin-Panel auf vertrauenswürdige Netzwerke oder VPN beschränken.
- Konten mit view_users oder access_dashboard prüfen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn; die CVE ist nicht im CISA-KEV-Katalog.
- Der Status eines öffentlichen Proof-of-Concept ist widersprüchlich; es ist davon auszugehen, dass einer existiert.
- EPSS: 0.44 % (Perzentil 38).
Unsere Empfehlung
- Alle Installationen von shopper/framework und deren Versionen erfassen.
- Auf 2.9.2 oder neuer aktualisieren und danach den Anwendungs-Cache leeren.
- Benutzer- und Rollentabellen auf unerwartete Administratorkonten und geänderte Berechtigungen prüfen.
- Zugriff auf das Admin-Panel bis zur Behebung auf VPN oder vertrauenswürdige IP-Adressen beschränken.
- Mitarbeitende mit view_users- oder access_dashboard-Berechtigung überprüfen und nicht benötigte Zugriffe entfernen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-j328-xmgp-j4q3 github.com
- Fix commit ac9a760 github.com
- Pull request #514 github.com
- Release v2.8.1 github.com
- Comparison v2.8.1...v2.9.2 github.com
- GitLab advisory database entry advisories.gitlab.com
- OSV entry GHSA-j328-xmgp-j4q3 osv.dev
- Strix CVE summary www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:32.
Referenzen der NVD (5)
- https://github.com/shopperlabs/shopper/commit/ac9a76044a8e4a2b570b438d66cf3007f3dc479e
- https://github.com/shopperlabs/shopper/compare/v2.8.1...v2.9.2
- https://github.com/shopperlabs/shopper/pull/514
- https://github.com/shopperlabs/shopper/releases/tag/v2.8.1
- https://github.com/shopperlabs/shopper/security/advisories/GHSA-j328-xmgp-j4q3
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.