CVE-2026-22589

Wysokie

Opublikowano: 10/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

W Spree, platformie e-commerce opartej na Ruby on Rails, przed wersjami 4.10.2, 5.0.7, 5.1.9 i 5.2.5 wykryto podatność IDOR (Insecure Direct Object Reference). Pozwala ona nieuwierzytelnionemu atakującemu na dostęp do danych adresowych gości bez podawania ważnych poświadczeń lub ciasteczek sesji.

Ocena ryzyka

Ryzyko dla organizacji to możliwość nieautoryzowanego ujawnienia danych osobowych klientów (adresów), co może naruszyć przepisy o ochronie danych (np. RODO) i zaszkodzić reputacji firmy.

Rekomendacja

Zaleca się natychmiastowe zaktualizowanie Spree do jednej z załatanych wersji: 4.10.2, 5.0.7, 5.1.9 lub 5.2.5. Należy również sprawdzić logi pod kątem nieautoryzowanych dostępów do danych adresowych.

Inne podatności w Spree

CVE-2026-94462Wysokie
Spree to open source'owe rozwiązanie e-commerce zbudowane na Ruby on Rails. Od wersji 5.4.0 do 5.4.4 oraz 5.5.4, endpoint PATCH /api/v3/store/carts/:id/associate w Spree::Api::V3::Store::CartsController#associate używa find_cart_for_association do lokalizacji koszyka po prefixed_id, ale nie wymaga tokenu koszyka ani nie weryfikuje posiadania wybranego koszyka gościa. Uwierzytelniony klient może wyprowadzić odwracalne identyfikatory koszyków, przypisać kwalifikujący się koszyk gościa do konta atakującego i otrzymać dane adresowe rozliczeniowe i dostawy z koszyka. Eksploatacja wymaga koszyka gościa z danymi adresowymi w sklepie, który nie wymaga logowania do realizacji zamówienia, a ponowne przypisanie może również zakłócić trwający koszyk gościa. Problem został naprawiony w wersjach 5.4.4 i 5.5.4.

Oryginalny opis (angielski, źródło NVD)

Spree is an open source e-commerce solution built with Ruby on Rails. Prior to versions 4.10.2, 5.0.7, 5.1.9, and 5.2.5, an Unauthenticated Insecure Direct Object Reference (IDOR) vulnerability was identified that allows an unauthenticated attacker to access guest address information without supplying valid credentials or session cookies. This issue has been patched in versions 4.10.2, 5.0.7, 5.1.9, and 5.2.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS