CVE-2026-62990

Shopper to bezgłowy panel administracyjny e-commerce. W wersjach od 2.0.0 do 2.10.1 oraz w wersjach wstępnych 3.0.0 beta.1 i beta.2 uwierzytelnieni pracownicy zaplecza z uprawnieniami do przesyłania zawartości mogą przechowywać pliki wykonywalne w źródle administratora. W implementacji 2.x odpowiednie uprawnienia do przesyłania obejmują `edit_products` lub `add_brands`, a `packages/admin/config/media.php` zezwala na `image/svg+xml` w każdej kolekcji multimediów, łącznie z polami obrazów, których sprawdzanie image/* akceptuje również SVG. Kolekcja plików produktów w `packages/admin/src/Livewire/Components/Products/Form/Files.php` nie ma ograniczeń MIME i akceptuje również `text/html`. Media są dostarczane bezpośrednio z dysku „publicznego” w katalogu „/storage/” z własnym typem zawartości, bez „Rozporządzania treścią: załącznik” lub „Polityki bezpieczeństwa treści”. Kiedy administrator otwiera przesłany plik HTML lub SVG, przechowywany skrypt jest wykonywany w sesji tego administratora. W wersji 2.x skrypt może wywołać `packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php`, którego `store()` sprawdza `access_setting` przechowywane przez administratora przeglądającego, ale ufa dostarczonemu przez klienta `role_id`, aby utworzyć nowego administratora kontrolowanego przez atakującego z wybranym hasłem. Konto to pozostanie aktywne po usunięciu przesłanego pliku i umożliwi dostęp do danych klientów, zamówień, ustawień oraz zarządzania użytkownikami/rolami; ten sam skrypt może wydobyć dane lub przyznać uprawnienia kontu atakującego. Bezpośrednie tworzenie konta przez osobę przesyłającą o niskich uprawnieniach jest zablokowane, więc wykorzystanie tego wymaga otwarcia pliku przez administratora. Wersja wstępna wersji 3.x wyklucza już format SVG, ale nadal umożliwia wykonywanie plików produktów. Ten problem został rozwiązany w wersjach 2.10.1 i 3.0.0-beta.3.