Shopper: privilege escalation via improper Livewire admin component authorization — GHSA-J328-XMGP-J4Q3

GitHub · GitHub · GHSA-J328-XMGP-J4Q3

ID
GHSA-J328-XMGP-J4Q3

Datum
2026-09-11

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
8.8

Zusammenfassung

## Summary Three Livewire admin components in `shopper/framework` (latest master at commit `fcd0c59`, released as v2.8.0) gate state-mutating actions on the read-only `view_users` permission. This is the same class as the issue Shopper fixed in v2.8.0 / PR #511 / [GHSA-f946-9qp6-vgch](https://github.com/shopperlabs/shopper/security/advisories/GHSA-f946-9qp6-vgch) — the PR moved most write actions from `view_users`…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-11

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 8.8 von 10.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: composer: shopper/framework.

Produkt

composer: shopper/framework

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-J328-XMGP-J4Q3
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-11
Letzte Quellenaktivität: 2026-09-11
Weitere Kennungen: CVE-2026-56828
Kuratiert von: hlukh.ch