CVE-2026-56828

Shopper to bezgłowy panel administracyjny e-commerce. Od wersji 2.8.0 do 2.8.1 trzy komponenty administracyjne Shopper Livewire zachowują luki w autoryzacji po wcześniejszej poprawce autoryzacji w ustawieniach zespołu. Pracownik posiadający tylko uprawnienia „view_users” i „access_dashboard” może zmieniać uprawnienia, tworzyć administratora lub usuwać role. W `packages/admin/src/Livewire/Components/Settings/Team/Permissions.php`, `togglePermission` i `removePermission` autoryzują `view_users` zamiast silniejszego uprawnienia `access_setting`; `packages/admin/resources/views/livewire/components/settings/team/permissions.blade.php` udostępnia identyfikatory uprawnień w programach obsługi `wire:click`. Osoba atakująca może nadać powiązanej roli dowolne uprawnienia, w tym „ustawienie_dostępu” dla własnej roli atakującego lub usunąć definicje uprawnień. W `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php`, `mount()` i `store()` akceptują także `view_users`, a wybrany przez klienta `role_id` może zidentyfikować rolę administratora, umożliwiając utworzenie wstępnie zweryfikowanego administratora z hasłem wybranym przez atakującego. W `packages/admin/src/Livewire/Pages/Settings/Team/RolePermission.php`, `deleteAction` nie ma autoryzacji akcji i jest uzależnione jedynie od `can_be_removed`, podczas gdy dostęp do strony wymaga `view_users`. Usunięcie usuwalnej roli usuwa dostęp przypisanym użytkownikom, umożliwiając odmowę usługi RBAC, a także eskalację uprawnień. Ten problem został rozwiązany w wersji 2.8.1.