Shopper 2.8.0-2.8.1 許可權升級漏洞 CVE-2026-56828 已於 2.8.1 修補
CVE-2026-56828 - Shopper: read-only team permissions allow administrator creation and permission escalation
Shopper 是一款 Headless 電商管理面板，於 2.8.0 至 2.8.1 版本中存在許可權升級漏洞（CVE-2026-56828）。
- 漏洞原理：僅具
view_users許可權的使用者可變更團隊許可權、建立管理員或刪除角色，造成許可權失控。
此漏洞可讓低許可權使用者提升至管理員，提示需及時升級至 2.8.1 以防止許可權失控；若已部署舊版，應立即修補以避免潛在的許可權濫用。
譯文尚未完整，完整內容請切換至原文。
Shopper 是一個 Headless 電商管理面板。從 2.8.0 到 2.8.1，三個 Shopper Livewire 管理元件在先前的團隊設定授權修正後仍保留授權缺口。僅具備 `view_users` 與 `access_dashboard` 的工作人員可以變更許可權、建立管理員或刪除角色。在 `packages/admin/src/Livewire/Components/Settings/Team/Permissions.php`，`togglePermission` 與 `removePermission` 只核授 `view_users`，而非更嚴格的 `access_setting` 許可權；`packages/admin/resources/views/livewire/components/settings/team/permissions.blade.php` 透過 `wire:click` 處理程式公開許可權 ID。攻擊者可將任意許可權授予所繫結的角色，包括在自身角色上授予 `access_setting`，或刪除許可權定義。在 `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php`，`mount()` 與 `store()` 亦接受 `view_users`，且客戶端選擇的 `role_id` 能辨識管理員角色，允許建立預先驗證的管理員並使用攻擊者選擇的密碼。在 `packages/admin/src/Livewire/Pages/Settings/Team/RolePermission.php`，`deleteAction` 未做動作授權，僅以 `can_be_removed` 為條件，而頁面存取仍需 `view_users`。刪除可移除的角色會移除已指派使用者的存取權，造成 RBAC 服務拒絕及許可權提升。此問題已於 2.8.1 版修正。
影響
受影響產品
以下產品受到 CVE-2026-56828
漏洞影響。
即使 cvefeed.io 知道受影響產品的確切版本，
但資訊並未在下表中呈現。
尚未記錄受影響產品
通用漏洞評分系統（CVSS）是一個標準化框架，用於評估軟體與系統漏洞的嚴重性。 我們收集並顯示各來源的 CVSS 分數，針對每個 CVE。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | github | ||||
| CVSS 3.1 | 高 | MITRE-CVE | ||||
| CVSS 3.1 | 高 | [email protected] |
更新團隊管理動作的授權檢查，要求 'access_setting' 許可權。
- 更新授權至 'access_setting' 在 Permissions。
- 更新授權至 'access_setting' 在 CreateTeamMember。
- 新增 'access_setting' 授權至 RolePermission deleteAction。
- 審查並更新相關測試案例。
這裡將提供一份精心整理的外部連結清單，包含針對CVE-2026-56828的深入資訊、實用解決方案與寶貴工具。
雖然 CVE 針對具體的漏洞例項進行識別，CWE 則對可能導致漏洞的常見缺陷或弱點進行分類。CVE-2026-56828 與以下 CWE 相關：
Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，這些模式描述了對手為利用CVE-2026-56828弱點所採用的常見屬性和方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）攻擊。以下列表收錄了已在 GitHub 釋出的公開攻擊與概念驗證，按最近更新時間排序。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表列出文章中提及CVE-2026-56828漏洞的新聞。
以下表格列出CVE-2026-56828漏洞隨時間所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，並辨識可能影響其嚴重性、可利用性或其他特徵的最新變更。
-
新 CVE 受理 由 [email protected]
十月. 28, 2026
動作 型別 舊值 新值 新增 說明 Shopper 是一個 Headless 電商管理面板。從 2.8.0 到 2.8.1，三個 Shopper Livewire 管理元件在先前的團隊設定授權修正後仍保留授權缺口。僅擁有 `view_users` 和 `access_dashboard` 許可權的員工即可變更許可權、建立管理員或刪除角色。在 `packages/admin/src/Livewire/Components/Settings/Team/Permissions.php`，`togglePermission` 和 `removePermission` 授權檢查使用 `view_users` 而非更強的 `access_setting` 許可權；`packages/admin/resources/views/livewire/components/settings/team/permissions.blade.php` 在 `wire:click` 處理程序中暴露了許可權 ID。攻擊者可以為繫結的角色授予任意許可權，包括在自身角色上授予 `access_setting`，或刪除許可權定義。在 `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php`，`mount()` 和 `store()` 也接受 `view_users`，且客戶端選擇的 `role_id` 可以識別管理員角色，允許建立一個預先驗證的管理員並使用攻擊者選擇的密碼。在 `packages/admin/src/Livewire/Pages/Settings/Team/RolePermission.php`，`deleteAction` 沒有執行授權，僅以 `can_be_removed` 為條件，而頁面存取仍需 `view_users`。刪除可移除角色會移除已指派使用者的存取權，進而實現 RBAC 拒絕服務以及特權提升。此問題已在 2.8.1 版修正。 新增 CVSS V3.1 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 新增 CWE CWE-285 新增 CWE CWE-862 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/56xxx/CVE-2026-56828.json">CVE-2026-56828</a> 新增 參考 https://github.com/shopperlabs/shopper/commit/ac9a76044a8e4a2b570b438d66cf3007f3dc479e 新增 參考 https://github.com/shopperlabs/shopper/compare/v2.8.1...v2.9.2 新增 參考 https://github.com/shopperlabs/shopper/pull/514 新增 參考 https://github.com/shopperlabs/shopper/releases/tag/v2.8.1 新增 參考 https://github.com/shopperlabs/shopper/security/advisories/GHSA-j328-xmgp-j4q3
EPSS 是每日估計在接下來 30 天內觀測到利用活動的機率。以下圖表顯示該漏洞的 EPSS 分數歷史。