关联漏洞
标题:Vendure SQL注入漏洞 (CVE-2026-40887)Description:Vendure是Vendure开源的一个电子商务框架。 Vendure 1.7.4版本至2.3.4之前版本、3.5.7之前版本和3.6.2之前版本存在SQL注入漏洞，该漏洞源于Shop API中用户控制的查询字符串参数未经参数化或验证直接插入原始SQL表达式，可能导致未经身份验证的SQL注入攻击。
Description
Vendure, an open-source headless commerce platform built on Node.js/TypeScript, contains a critical SQL injection vulnerability in its Shop API. The languageCode query parameter is interpolated directly into a raw SQL CASE expression in ProductService.findOneBySlug without parameterization or input validation, allowing unauthenticated attackers to execute arbitrary SQL commands. This can lead to full database disclosure and denial of service.
文件快照
id: CVE-2026-40887
info:
name: Vendure Core - SQL Injection
author: theamanrawat
severity: cr
...
备注
1. 建议优先通过来源进行访问。
2. 如果因为来源失效或无法访问，请发送邮件到 f.jinxu#gmail.com 索取本地快照（把 # 换成 @）。
3. 神龙已为您对 POC 代码进行快照，为了长期维护，请考虑为本地 POC 付费/捐赠，感谢您的支持。