🇰🇷 한글 설명
Shopper는 헤드리스 이커머스 관리자 패널입니다. 2.10.0 이전 버전에서는 Variants Livewire 컴포넌트의 DeleteAction과 DeleteBulkAction에 서버 측 권한 검사가 없어, edit_products 권한만 가진 인증된 직원이 delete_product_variants 권한 없이도 상품 변형(variant)을 영구 삭제할 수 있습니다. 이 취약점은 2.10.0 버전에서 수정되었습니다.
💡 쉬운 설명
상품 옵션(변형) 삭제 기능에 권한 확인이 빠져 있어, 상품 수정 권한만 있는 직원도 삭제 기능을 쓸 수 있습니다. 이로 인해 판매 중인 상품 데이터가 사라지고 쇼핑몰 구매 흐름이 중단될 수 있습니다.
🇺🇸 원문 (English)
Shopper is a Headless e-commerce Admin Panel. Prior to 2.10.0, the Variants Livewire component in `packages/admin/src/Livewire/Components/Products/Form/Variants.php` exposes `DeleteAction` and `DeleteBulkAction` without server-side authorization. An authenticated staff user with `edit_products` can access `/shopper/products/{id}/edit` and obtain the signed component state even without `delete_product_variants`. The `callTableAction` and `callTableBulkAction` paths then permanently delete individual or multiple variants without checking that dedicated permission. For variant products, this can destroy the sellable catalogue and disrupt storefront product pages, cart, and checkout. This issue is fixed in version 2.10.0.
📍 영향받는 시스템
Shopper 패키지 2.10.0 미만 버전 (packages/admin의 Variants Livewire 컴포넌트 사용 환경)
⚔️ 공격 벡터
edit_products 권한을 가진 인증된 직원이 /shopper/products/{id}/edit에 접근해 서명된 컴포넌트 상태를 얻은 뒤 callTableAction 또는 callTableBulkAction으로 변형 상품을 삭제
🛡️ 대응 방법
Shopper 패키지를 2.10.0 이상으로 업그레이드하고, 권한 검사가 적용되었는지 확인하며, 필요시 삭제 권한(delete_product_variants)을 최소 권한 원칙에 따라 재검토
🔧 검증 코드
출력된 버전이 2.10.0 이상이면 패치 적용됨, 2.10.0 미만이면 취약하므로 즉시 업그레이드 필요 (composer show 결과가 없으면 패키지명을 프로젝트 기준으로 확인)
composer show shopper/framework 2>/dev/null | grep -E '^versions'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
💻 영향받는 소프트웨어
Minecraft Bedrock Dedicated Server