Shopper 漏洞 CVE-2026-62990：同源 SVG/HTML 上傳可執行儲存式 XSS 及永久管理員建立
CVE-2026-62990 - Shopper: same-origin SVG and HTML uploads enable stored XSS and persistent administrator creation
Shopper 的 Headless 電商管理面板在 2.0.0 以至 2.10.1 以及 3.0.0 beta 1/2 版本中，授權上傳者可上傳 SVG 或 HTML，管理員開啟即執行指令碼，能建立持久管理員帳號。
此漏洞允許已授權上傳者在管理者端執行儲存式 XSS，易造成管理者帳號被盜，提醒使用者立即升級至 2.10.1 或 3.0.0-beta.3。
譯文尚未完整，完整內容請切換至原文。
Shopper 是一個 Headless 電商管理面板。在 2.0.0 之前的版本以及 3.0.0 先行版 beta.1 和 beta.2 中，具有內容上傳許可權的授權後臺員工可以在管理者自己的原始來源上儲存可執行媒體。在 2.x 實作中，相關上傳許可權包括 `edit_products` 或 `add_brands`，而 `packages/admin/config/media.php` 允許 `image/svg+xml` 在所有媒體集合中，包括影像欄位，其 image/* 驗證也接受 SVG。`packages/admin/src/Livewire/Components/Products/Form/Files.php` 中的產品檔案集合沒有 MIME 限制，也接受 `text/html`。媒體從 `public` 磁碟的 `/storage/` 以內嵌方式提供，並帶有自己的內容型別，沒有 `Content-Disposition: attachment` 或 `Content-Security-Policy`。當管理者開啟上傳的 HTML 或 SVG 檔案時，儲存的指令碼會在該管理者的會話中執行。在 2.x 中，指令碼可以呼叫 `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php`，其 `store()` 檢查檢視管理者持有的 `access_setting`，但信任客戶端提供的 `role_id`，以建立一個由攻擊者控制的新管理者，並設定選定密碼。此帳號在上傳檔案刪除後仍然存在，並可存取客戶資料、訂單、設定以及使用者/角色管理；同一指令碼亦可外洩資料或授予攻擊者帳號許可權。低許可權上傳者直接建立帳號被阻止，故利用需要管理者開啟該檔案。3.x 先行版已排除 SVG，但仍允許可執行的產品檔案。此問題已在 2.10.1 和 3.0.0-beta.3 版本修復。
影響
受影響產品
以下產品受到 CVE-2026-62990 的漏洞影響。
即使 cvefeed.io 知道受影響產品的確切版本，該資訊也未在下表中表示。
尚未記錄受影響產品
Common Vulnerability Scoring System 是一個標準化框架 用於評估軟體和系統漏洞的嚴重性。 我們收集並顯示各來源的 CVSS 分數，針對每個 CVE。
| 分數 | 版本 | 嚴重性 | 向量 | 利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | [email protected] |
更新 Shopper 至 2.10.1 或 3.0.0-beta.3 版，以修復身份驗證繞過漏洞。
- 更新 Shopper 至 2.10.1 版。
- 更新 Shopper 至 3.0.0-beta.3 版。
- 套用供應商提供的補丁。
在此，您將找到一份精心挑選的外部連結清單，提供有關 CVE-2026-62990 的深入資訊、實用解決方案和有價值的工具。
雖然 CVE 會識別特定的漏洞例項，CWE 則將可能導致漏洞的共通缺陷或弱點分類。CVE-2026-62990 與以下 CWEs 相關聯：
Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，這些模式描述了對手為利用 CVE-2026-62990 弱點所採用的共通屬性與方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞利用。以下清單為已在 GitHub 釋出的公開漏洞利用與概念驗證集合（依最近更新時間排序）。
結果僅限於前 15 個儲存庫，因為可能存在效能問題。
以下列表為已在文章中提及
CVE-2026-62990 漏洞在文章中的任何位置。
以下表格列出隨時間變更的
CVE-2026-62990 漏洞。
漏洞歷史細節對於瞭解漏洞演變很有用 以及辨識漏洞可能受到影響的最新變更 影響漏洞的嚴重度、可利用性或其他特徵。
-
新 CVE 已收到 由 [email protected]
十月. 30, 2026
動作 型別 舊值 新值 新增 說明 Shopper 是一個無頭電子商務管理面板。在 2.0.0 之前到 2.10.1 的版本，以及 3.0.0 先行版 beta.1 與 beta.2 中，已授權的後端工作人員若擁有內容上傳許可權，能將可執行媒體儲存於管理員自己的來源。於 2.x 實作中，相關上傳許可權包括 `edit_products` 或 `add_brands`，且 `packages/admin/config/media.php` 允許在每個媒體集合中使用 `image/svg+xml`，包括其 image/* 驗證亦接受 SVG。產品檔案集合 `packages/admin/src/Livewire/Components/Products/Form/Files.php` 沒有 MIME 限制，亦接受 `text/html`。媒體以內嵌方式從 `public` 磁碟下的 `/storage/` 提供，並帶有其自身的內容型別，未使用 `Content-Disposition: attachment` 或 `Content-Security-Policy`。當管理員開啟已上傳的 HTML 或 SVG 檔案時，儲存的指令碼會在該管理員的會話中執行。在 2.x，指令碼可呼叫 `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php`，其 `store()` 檢查觀看管理員所持有的 `access_setting`，但信任客戶端提供的 `role_id`，以建立一個由攻擊者控制、設定密碼的新管理員。此帳號在上傳檔案刪除後仍會保留，並可存取客戶資料、訂單、設定，以及使用者/角色管理；同一指令碼亦可外洩資料或授權攻擊者帳號。低許可權上傳者無法直接建立帳號，故利用需要管理員開啟檔案。3.x 先行版已排除 SVG，但仍允許可執行的產品檔案。此問題已於 2.10.1 與 3.0.0-beta.3 版本修正。 新增 CVSS V3.1 AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N 新增 CWE CWE-79 新增 CWE CWE-269 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/62xxx/CVE-2026-62990.json">CVE-2026-62990</a> 新增 參考 https://github.com/shopperlabs/shopper/commit/12be681db5f603a364d5f03f1974ff2a20e99b99 新增 參考 https://github.com/shopperlabs/shopper/commit/ad2c5b9b968ff49c37130c6b9d1dba7f20eebbf6 新增 參考 https://github.com/shopperlabs/shopper/compare/v3.0.0-beta.1...v3.0.0-beta.3 新增 參考 https://github.com/shopperlabs/shopper/pull/595 新增 參考 https://github.com/shopperlabs/shopper/pull/597 新增 參考 https://github.com/shopperlabs/shopper/releases/tag/v2.10.1 新增 參考 https://github.com/shopperlabs/shopper/releases/tag/v3.0.0-beta.3 新增 參考 https://github.com/shopperlabs/shopper/security/advisories/GHSA-vmvv-x5cp-2qv6
EPSS 是每日估計在接下來 30 天內觀測到利用活動的機率。以下圖表顯示此漏洞的 EPSS 分數歷史。