CVE-2026-63414
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Shopify App to silnik Railsowy do tworzenia aplikacji Shopify. Od wersji 22.1.0 do 23.0.3 uwierzytelnieni kontrolerzy „wymiany tokenów” mogą ujawniać kontekst „sklepu” wywodzący się z żądania zamiast tożsamości ze zweryfikowanego tokena ID Shopify lub aktywnej sesji Shopify. „bieżąca_domena_sklepu” może zostać przekształcona w oczyszczony parametr zapytania „sklepu”, więc żądanie uwierzytelnione dla jednego „sklepu” może spowodować, że kod aplikacji potraktuje inny żądany „sklep” jako bieżący. Zaatakowane aplikacje korzystają z uwierzytelniania `shopify_app` `token-exchange`, akceptują uwierzytelnione żądania z parametrem zapytania `shop` i korzystają z `current_shopify_domain` lub `params[:shop]` w celu autoryzacji, wyszukiwania dzierżawców, wyboru przechowywanego tokenu dostępu lub dostępu do danych o zasięgu `shop`. Osoba atakująca mająca ważny token sesji Shopify dla jednego „sklepu” może podać ten parametr innemu „sklepowi” i potencjalnie uzyskać nieautoryzowane dane aplikacji lub wykonać działania o zasięgu „sklepu”, w zależności od modelu autoryzacji aplikacji. Ten problem został rozwiązany w wersji 23.0.3.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org