Bagisto CVE-2026-79409: cart links[] authz bypass root-cause & code path

CVE-2026-79409 漏洞总结 漏洞概述 Bagisto（Webkul 出品的开源电商系统）的 中间件在处理购物车时，接受任意 标识符列表，但不校验这些标识符是否属于当前购买的产品。认证客户购买最便宜的下载产品时，可把其他产品的 一并塞进购物车，从而免费获得其他下载产品的访问权限。 CVE：CVE-2026-79409 产品：Bagisto（Webkul 软件） 受影响版本：2.4.9 和 2.4.10（发布时最新） 修复版本：截至 2.4.10 尚未修复 CWE：CWE-639（通过用户可控键的授权绕过） CVSS 3.1：6.5 中危 — 披露时间线：2026-08-12 报告给 Webkul，多次沟通后未发布补丁；2026-09-11 由 MITRE 分配 CVE 编号；2026-09-12 公开披露。 影响范围 受影响端点： - 路由： ，中间件组 - 认证客户；自注册默认开启，无需提升权限 - 参数 ：产品下载链接的数组，值未校验 受影响版本：2.4.9 与 2.4.10 的关联代码路径逐字节一致（经 v2.4.9 与 v2.4.10 源码 diff 验证），故当前版本均受影响。 影响：目录中任何下载产品的价格都可被最便宜产品替代；对以软件、媒体、电子书或许可证密钥为目录的商户，等于整个营收模型被击穿。 两个加重因素： 1. 链接标识符来自单一全局自增序列，攻击者无需知道哪些产品存在—— 可枚举。 2. 存储的 表仅由产品自身的链接构建，注入的授权在两个界面都渲染为数组存储，商户看到的订单显示为正常的 $19.99 购买。 根因（关键代码路径） 1. 校验器未提及 — 2. 定价只过滤产品自身的链接 — 外部标识符不匹配循环中的任何项，因此价格加 0.00，但数据仍被持久化。 3. 未过滤的载荷被持久化 — 4. Fulfillment 接受任何传入的标识符 — 与所购产品之间没有任何比较。 POC / 利用代码 目录（4 个下载产品，各含一个 one-file 类型链接）： 步骤： 1. 打开最便宜产品（$19.99），勾选其唯一的下载复选框，通过拦截代理提交 Add to Cart。 2. 在拦截的 中，将单个 替换为三项—— 、 、 。 3. 正常完成结账。 4. 以管理员身份完成开票流程。 5. 作为客户打开账户 → Downloadable Products and Downloads。 请求示例： 购物车按所购产品计价： 修复方案 在 fulfillment 处做权威校验，在入口做纵深防御： 1. 将链接关联限定到所购产品 — （单一改动即可关闭漏洞） 2. 校验输入 — 3. 持久化前归一化 — 在 中，将 与 求交集后再存储，使 自洽，且数组只接收过滤后的值。 应用顺序：仅应用 (2) 会留下可被利用的已存购物车；仅应用 (3) 会留下其他写入路径的额外暴露；(1) 是必要的修复。 待办：为不属于任何产品的 行添加 。 参考 厂商：https://github.com/bagisto/bagisto CVE 记录：https://www.cve.org/CVERecord/?id=CVE-2026-79409

目標達成すべての支援者に感謝 — 100%達成しました！

Bagisto CVE-2026-79409: cart links[] authz bypass root-cause & code path

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Bagisto CVE-2026-79409: cart links[] authz bypass root-cause & code path

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！