प्लेटफ़ॉर्म
php
घटक
craftcms/commerce
में ठीक किया गया
4.0.1
5.0.1
5.6.0
CVE-2026-32270 is an Information Disclosure vulnerability affecting Craft Commerce versions up to 5.5.4. An attacker can exploit this flaw to retrieve sensitive order data, including customer email addresses, shipping addresses, and billing addresses, by manipulating the order number during an anonymous payment process. The vulnerability stems from the PaymentsController::actionPay function failing to properly enforce authorization checks before retrieving order details. Upgrade to Craft Commerce version 5.6.0 to remediate this issue.
Craft CMS Commerce में CVE-2026-32270 अनधिकृत उपयोगकर्ताओं को संवेदनशील ऑर्डर डेटा तक पहुंचने की अनुमति देता है। विशेष रूप से, जब ईमेल जांच के कारण गुमनाम भुगतान विफल हो जाता है, तो JSON त्रुटि प्रतिक्रिया में क्रमबद्ध ऑर्डर ऑब्जेक्ट शामिल होता है। इस ऑब्जेक्ट में ग्राहक का ईमेल पता, शिपिंग पता और बिलिंग पता जैसे गोपनीय विवरण शामिल होते हैं। एक हमलावर इस जानकारी को सोशल इंजीनियरिंग, फ़िशिंग या यहां तक कि ई-कॉमर्स वेबसाइट के ग्राहकों के बारे में जानकारी प्राप्त करने के लिए एकत्र कर सकता है।
इस भेद्यता का फायदा इस बात का फायदा उठाकर उठाया जाता है कि actionPay क्रिया को प्रमाणित किए बिना एक वैध ऑर्डर नंबर प्रदान किया जाता है। यदि ईमेल सत्यापन विफल हो जाता है (उदाहरण के लिए, यदि प्रदान किया गया ईमेल पता सिस्टम में मौजूद नहीं है), तो नियंत्रक एक JSON प्रतिक्रिया लौटाता है जिसमें पूरा ऑर्डर ऑब्जेक्ट होता है। एक हमलावर विभिन्न तकनीकों (जैसे ब्रूट-फोर्स या नेटवर्क ट्रैफ़िक का निरीक्षण) का उपयोग करके ऑर्डर नंबर प्राप्त कर सकता है। शोषण में आसानी इस भेद्यता को एक महत्वपूर्ण चिंता का विषय बनाती है, खासकर उन ई-कॉमर्स वेबसाइटों के लिए जो बड़ी संख्या में ऑर्डर संसाधित करती हैं।
एक्सप्लॉइट स्थिति
EPSS
0.06% (19% शतमक)
CISA SSVC
अनुशंसित समाधान Craft CMS Commerce को संस्करण 5.6.0 या बाद के संस्करण में अपडेट करना है। यह संस्करण ईमेल सत्यापन विफल होने पर त्रुटि प्रतिक्रिया में क्रमबद्ध ऑर्डर ऑब्जेक्ट को शामिल होने से रोककर इस भेद्यता को ठीक करता है। इस बीच, एक अस्थायी उपाय के रूप में, PaymentsController में एक कस्टम फ़िल्टर लागू किया जा सकता है ताकि अनधिकृत उपयोगकर्ताओं को भेजने से पहले JSON प्रतिक्रिया से ऑर्डर ऑब्जेक्ट को हटा दिया जा सके। एप्लिकेशन सुरक्षा नीतियों की समीक्षा और मजबूत करना भी अनुशंसित है, जिसमें इनपुट सत्यापन और इंजेक्शन हमलों से सुरक्षा शामिल है।
Actualice Craft Commerce a la versión 4.11.0 o superior, o a la versión 5.6.0 o superior para mitigar la vulnerabilidad de divulgación de información. Esta actualización corrige el problema al reforzar la autorización antes de recuperar los pedidos por número, evitando así la exposición de datos sensibles a usuarios no autenticados.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
क्रमबद्ध का अर्थ है एक जटिल ऑब्जेक्ट (जैसे ऑर्डर ऑब्जेक्ट) को एक स्ट्रिंग में बदलना। फिर इस स्ट्रिंग को नेटवर्क पर भेजा जा सकता है या फ़ाइल में संग्रहीत किया जा सकता है। इस मामले में, क्रमबद्ध ऑर्डर ऑब्जेक्ट में संवेदनशील जानकारी होती है जो अनधिकृत उपयोगकर्ताओं के लिए सुलभ नहीं होनी चाहिए।
अपनी वेबसाइट पर गुमनाम भुगतान करने का प्रयास करें। यदि ईमेल सत्यापन विफल हो जाता है और JSON प्रतिक्रिया में संवेदनशील जानकारी वाला ऑर्डर ऑब्जेक्ट होता है, तो आपकी वेबसाइट कमजोर है। सत्यापित करने का सबसे सुरक्षित तरीका संस्करण 5.6.0 या बाद के संस्करण में अपडेट करना है।
हां, आप PaymentsController में एक कस्टम फ़िल्टर लागू कर सकते हैं ताकि अनधिकृत उपयोगकर्ताओं को भेजने से पहले JSON प्रतिक्रिया से ऑर्डर ऑब्जेक्ट को हटा दिया जा सके। हालांकि, पैच किए गए संस्करण में अपग्रेड करना सबसे अनुशंसित समाधान है।
उजागर होने वाली संभावित संवेदनशील जानकारी में ग्राहक का ईमेल पता, शिपिंग पता और बिलिंग पता शामिल है। इस जानकारी का उपयोग दुर्भावनापूर्ण उद्देश्यों के लिए किया जा सकता है, जैसे फ़िशिंग या सोशल इंजीनियरिंग।
यदि आपको लगता है कि आपकी वेबसाइट से समझौता किया गया है, तो तुरंत एक साइबर सुरक्षा पेशेवर को सूचित करें। आपको अपने सर्वर लॉग की भी जांच करनी चाहिए ताकि किसी भी संदिग्ध गतिविधि का पता चल सके और अपने ग्राहकों के डेटा की सुरक्षा के लिए कदम उठाने चाहिए।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।