Shopper: Fehlende Berechtigungsprüfung für das Löschen von Varianten im Admin-Panel
Zusammenfassung
Shopper ist ein Headless-E-Commerce-Admin-Panel. Vor Version 2.10.0 stellt die Livewire-Komponente für Varianten Einzel- und Massenlöschaktionen ohne serverseitige Berechtigungsprüfung für delete_product_variants bereit. Ein authentifizierter Mitarbeiter mit edit_products kann dadurch Produktvarianten dauerhaft löschen, was den verkaufsfähigen Katalog zerstören und Produktseiten, Warenkorb und Kasse im Shop stören kann.
Betroffen
- Shopper-Versionen vor 2.10.0
- Betroffene Komponente: Livewire-Komponente für Varianten (Produkt-Bearbeitungsformular)
Behoben in
- Behoben in Shopper 2.10.0
- Spätere Versionen wie 2.10.1 sind ebenfalls verfügbar; verwenden Sie die neueste getestete 2.x-Version für Ihre Installation
Umgehung
Unbekannt. Vom Hersteller ist keine Workaround-Lösung dokumentiert. Übergangsmassnahme: edit_products bei Benutzern entfernen, die es nicht benötigen, und prüfen, wer delete_product_variants besitzt.
Ausnutzung
- Nicht bekannt, dass die Lücke aktiv ausgenutzt wird
- CISA KEV: nicht gelistet
- Kein öffentlicher Proof of Concept gefunden; dies schliesst die Existenz eines solchen nicht aus
- EPSS: 0.28 % (Perzentil 20)
Unsere Empfehlung
- Shopper auf 2.10.0 oder eine neuere, getestete 2.x-Version aktualisieren
- Prüfen, welche Mitarbeiterrollen edit_products und delete_product_variants besitzen, und nicht benötigte Rechte entfernen
- Das Admin-Panel nach Möglichkeit auf das interne Netzwerk oder ein VPN beschränken
- Vor dem Update ein Datenbank-Backup erstellen und Produktvarianten auf fehlende Einträge prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-93v2-gcw2-vfwc github.com
- Fix commit 3c814f3 github.com
- Pull Request #573 github.com
- Shopper release v2.10.0 github.com
- VulDB CVE-2026-62989 vuldb.com
- Strix CVE-2026-62989 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.