CVE-2026-62989：Shopper 變體刪除授權缺失可導致單項與批次破壞操作

Shopper 是一個 Headless 電商管理面板。在 2.10.0 之前，`packages/admin/src/Livewire/Components/Products/Form/Variants.php` 中的 Variants Livewire 元件會公開 `DeleteAction` 與 `DeleteBulkAction`，但未做伺服器端授權。具有 `edit_products` 許可權的已登入工作人員可存取 `/shopper/products/{id}/edit`，即使沒有 `delete_product_variants` 許可權，也能取得已簽名的元件狀態。之後透過 `callTableAction` 與 `callTableBulkAction` 路徑，便能永久刪除單一或多個變體，而不會檢查專屬許可權。對於變體商品而言，這可能毀掉可販售的目錄，並中斷前臺商品頁面、購物車及結帳流程。本問題已於 2.10.0 版本修復。

Impact

Affected Products

以下產品受到 CVE-2026-62989 漏洞的影響。即使 cvefeed.io 知道受影響產品的確切版本，資訊仍未在下表中呈現。

No affected product recoded yet

通用漏洞評分系統（Common Vulnerability Scoring System）是一套標準化框架用於評估軟體與系統漏洞的嚴重性。我們會收集並顯示各來源針對每個 CVE 的 CVSS 分數。

Score	Version	Severity	Vector	Exploitability Score	Impact Score	Source
	CVSS 3.1	高				[email protected]

請將 Shopper 更新至 2.10.0 或更高版本以修正未受保護的變體刪除問題。

請將 Shopper 更新至 2.10.0 或更高版本。
請確認產品變體已正確管理。

這裡您將找到一份精選的外部連結清單，提供關於 CVE-2026-62989 的深入資訊、實用解決方案與寶貴工具。

URL	Resource
https://github.com/shopperlabs/shopper/commit/3c814f3b8eaf7cd2296c213bec0ce91e9f92a3f2
https://github.com/shopperlabs/shopper/pull/573
https://github.com/shopperlabs/shopper/releases/tag/v2.10.0
https://github.com/shopperlabs/shopper/security/advisories/GHSA-93v2-gcw2-vfwc

雖然 CVE 會標示具體漏洞例項，CWE 則將可能導致漏洞的常見缺陷或弱點分類。CVE-2026-62989 與以下 CWEs 相關：

Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，這些模式描述了對手為利用 CVE-2026-62989 弱點所採用的常見屬性與方法。

我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列表是一組已在 GitHub 釋出的公開漏洞與概念驗證（按最近更新排序）。

結果僅限於前 15 個倉庫，因為可能存在效能問題。

以下列表為在文章中提及CVE-2026-62989漏洞的新聞。

以下表格列出了CVE-2026-62989漏洞隨時間所做的變更。

漏洞歷史細節可幫助瞭解漏洞的演變，並識別可能影響其嚴重性、可利用性或其他特徵的最新變更。

新 CVE 已接收由 [email protected]

十月. 30, 2026

動作	型別	新值
新增	說明	Shopper 是一個無頭電商後臺管理面板。在 2.10.0 之前，`packages/admin/src/Livewire/Components/Products/Form/Variants.php` 中的 Variants Livewire 元件會在未進行伺服器端授權的情況下暴露 `DeleteAction` 與 `DeleteBulkAction`。具備 `edit_products` 許可權的已認證工作人員可存取 `/shopper/products/{id}/edit` 並在未具備 `delete_product_variants` 的情況下取得簽名的元件狀態。`callTableAction` 與 `callTableBulkAction` 路徑會永久刪除單一或多個變體，而不檢查相應許可權。對於變體產品而言，這可能會毀掉可販售的目錄並幹擾前端產品頁面、購物車與結帳。此問題已於 2.10.0 版修復。
新增	CVSS V3.1	AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
新增	CWE	CWE-285
新增	CWE	CWE-862
新增	受影響	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/62xxx/CVE-2026-62989.json">CVE-2026-62989</a>
新增	參考	https://github.com/shopperlabs/shopper/commit/3c814f3b8eaf7cd2296c213bec0ce91e9f92a3f2
新增	參考	https://github.com/shopperlabs/shopper/pull/573
新增	參考	https://github.com/shopperlabs/shopper/releases/tag/v2.10.0
新增	參考	https://github.com/shopperlabs/shopper/security/advisories/GHSA-93v2-gcw2-vfwc

EPSS 是對未來 30 天內可觀測到利用活動的機率的每日估算。以下圖表顯示該漏洞的 EPSS 分數歷史。

CVE-2026-62989：Shopper 變體刪除授權缺失可導致單項與批次破壞操作

Affected Products

新 CVE 已接收 由 [email protected]

新 CVE 已接收由 [email protected]