Shopping privilege escalation through missing authorization in Settings components — GHSA-F7H9-QV4X-9X57

GitHub · GitHub · GHSA-F7H9-QV4X-9X57

ID
GHSA-F7H9-QV4X-9X57

Datum
2026-09-11

Quelle
GitHub

Vendor
GitHub

Risiko
mittel

CVSS
5.4

Zusammenfassung

## Summary Four Livewire components in the Settings area expose destructive Filament actions (`delete` / `edit`) that perform **no server-side authorization**. Any authenticated user who can reach the Settings pages — i.e. holding only the coarse `access_setting` permission, **without** being an admin and **without** any `delete_*`/`edit_*` permission — can delete tax zones, tax rates, shipping zones, and carrier…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-11

Risikokontext

Gemeldeter Schweregrad oder Risikowert: mittel.
Gemeldeter CVSS-Wert: 5.4 von 10.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: composer: shopper/framework.

Produkt

composer: shopper/framework

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-F7H9-QV4X-9X57
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-11
Letzte Quellenaktivität: 2026-09-11
Weitere Kennungen: CVE-2026-56826
Kuratiert von: hlukh.ch