🟠 【深度分析】高危安全漏洞：CVE-2026-47743

CVSS 评分: 高危（8.7）🟠　　状态: Deferred　　发布时间: 2026-07-23

🔍 技术细节速览

字段 值
CVE ID CVE-2026-47743
CVSS 评分 8.7 🟠
严重程度 高危
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
CWE 分类 CWE-79,CWE-200,CWE-639
发布时间 2026-07-23
最后更新 2026-07-23
状态 Deferred
数据来源 security-advisories@github.com

CVSS 评分：8.7（高危）
CVSS 向量： CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
危害等级： 高危

漏洞概述

CVE-2026-47743 是影响 Shopper（一款无头电商管理面板）的多个关联性缺陷的集合。攻击者可利用这些漏洞实现越权数据篡改、敏感凭证明文泄露以及存储型跨站脚本（XSS），最终导致会话劫持与特权操作串联。漏洞存在于 2.8.0 之前的版本中，官方已在 2.8.0 版本中修复，暂无已知临时缓解措施。

受影响组件与版本

组件 受影响版本
Shopper Admin Panel < 2.8.0
修复版本 2.8.0

漏洞原理分析

该漏洞由三个相互关联的缺陷组成，分别涉及身份验证绕过、密码明文传输和存储型XSS。以下逐一分析其技术成因。

1. Eloquent 模型 ID 未锁定 → 越权数据篡改（CWE-639）

Shopper 管理面板中的多个 Livewire 组件将 Eloquent 模型的主键 ID 作为公共属性暴露。根据 Livewire 安全最佳实践，此类属性应使用 #[Locked] 属性标记，防止客户端通过 wire payload 篡改。然而在受影响版本中，这些 ID 字段未被锁定，允许已认证的攻击者在浏览器端重写 wire payload 中的 ID 值。

由于页面路由通常基于上下文（如当前登录用户的身份）自动限定可访问的记录范围，但 Livewire 组件并未在校验 ID 时强制执行该范围，导致攻击者可以指定任意记录 ID（如其他用户的订单、产品等），从而实现越权数据读取与修改。攻击者只需拥有任意低权限账户（PR:L），配合用户交互（UI:R，例如点击按钮或触发事件），即可发起攻击。

2. 密码通过 Hidden 表单字段明文回传 → 凭证泄露（CWE-200）

在 Customers/Create 组件的 store() 方法中，创建新客户时输入的明文密码被放入一个 <input type="hidden" name="_password"> 表单字段中。该字段的值在页面渲染时被嵌入 HTML DOM，并且在 Livewire 的 snapshot 传输过程中以未加密的明文形式存在。

这意味着：

  • 明文密码会出现在页面的 HTML 源代码中，任何能够查看页面源码的管理员或攻击者（通过 XSS 等）均可直接获取。
  • 如果 Web 服务器或代理记录了 Livewire 的请求/响应 payload，密码将作为明文日志留存，进一步扩大泄露风险。

3. 产品条形码字段未转义 → 存储型 XSS（CWE-79）

产品编辑页面中的条形码（barcode）字段通过 DNS1DFacade::getBarcodeHTML() 方法渲染，输出时使用了 Blade 的 {!! !!} 语法（即未转义输出）。具有 edit_products 权限的攻击者可在条形码字段中插入恶意的 JavaScript 代码（例如 <img src=x onerror=alert(1)> 或 <script>...</script>）。

当任何管理员用户（包括高权限用户）在管理面板查看该产品详情时，恶意代码将在其浏览器上下文中执行。攻击者可借此窃取会话 Cookie、执行特权操作（如创建新管理员、修改系统配置等），形成特权升级链。

影响评估

评估维度 分析结果
攻击向量（AV） 网络（AV:N），无需物理接触
攻击复杂度（AC） 低（AC:L），无需绕过复杂防御
所需权限（PR） 低（PR:L），仅需拥有任意合法账号
用户交互（UI） 需要（UI:R），攻击者需诱导管理员访问恶意内容（如查看产品页）
作用域变更（S） 已变更（S:C），漏洞可跨应用组件影响其他资源
机密性影响（C） 高（C:H），导致密码泄露、会话劫持
完整性影响（I） 高（I:H），可篡改任意记录、注入恶意内容
可用性影响（A） 无（A:N）

综合判断：攻击者可通过组合利用上述三个漏洞实现从低权限到高权限的突破。例如：先通过未锁定 ID 越权访问产品编辑页面，利用 XSS 窃取管理员会话，再以管理员身份执行敏感操作。虽需要用户交互（UI:R），但攻击复杂度低且影响范围广，实际威胁极高。

修复建议

官方修复（推荐）

升级至 Shopper 2.8.0 或更高版本。该版本已实施以下修复：

  1. 所有暴露模型 ID 的 Livewire 公共属性添加 #[Locked] 属性，防止客户端篡改。
  2. Customers/Create 组件不再通过隐藏字段回传明文密码；密码在 action 边界立即进行哈希处理，且不再返回客户端。
  3. 产品条形码渲染时对输入进行转义，并将输出包裹在 <svg> 标签上下文中，该上下文不会执行事件处理器（如 onerror），从而根除 XSS 风险。

临时缓解措施

由于官方声明无已知临时缓解措施，且该漏洞涉及 Livewire 框架的敏感特性，建议运维团队立即安排升级。若无法立即升级，可考虑：

  • 限制管理面板的访问源 IP，降低外部利用风险。
  • 启用 Web 应用防火墙（WAF），对 Livewire 的 wire payload 进行模式匹配过滤（如检测 ID 字段的非预期修改）。
  • 使用内容安全策略（CSP），限制脚本执行源，缓解 XSS 危害。
  • 定期审计日志，检查是否存在异常的 Livewire snapshot 传输内容。

参考资料

类型 链接
CVE 详情页 https://nvd.nist.gov/vuln/detail/CVE-2026-47743
CWE-79（XSS） https://cwe.mitre.org/data/definitions/79.html
CWE-200（信息泄露） https://cwe.mitre.org/data/definitions/200.html
CWE-639（授权绕过） https://cwe.mitre.org/data/definitions/639.html
数据来源 security-advisories@github.com

本文基于 NVD 公开数据及官方安全公告撰写，所有技术细节均来源于可信来源，未进行无关推断。