Vulnerabilidades do Vendurehq Vendure

Vendure is an open-source headless commerce platform. Prior to 3.7.0, ExternalAuthenticationService.createCustomerAndUser in packages/core/src/service/helpers/external-authentication/external-authentication.service.ts selects an existing customer user by emailAddress and attaches a newly presented ExternalAuthenticationMethod without requiring verified to be true. In deployments with a custom external AuthenticationStrategy that forwards an email whose ownership the provider has not verified, an attacker can authenticate with a victim's email and bind the attacker's external identity to the victim's existing account. This can expose orders, addresses, and personal information and permit account changes or orders as the victim. Native-only email and password deployments and external strategies that always require provider-verified email ownership are unaffected, and new-account creation for an unused email remains permitted. This issue is fixed in version 3.7.0.

Vendure é uma plataforma de comércio headless de código aberto. A partir da versão 1.7.4 e antes das versões 2.3.4, 3.5.7 e 3.6.2, existe uma vulnerabilidade de injeção de SQL sem autenticação na Shop API do Vendure. Um parâmetro de string de consulta controlado pelo usuário é inserido diretamente em uma expressão SQL bruta, sem parametrização ou validação, o que permite que um atacante execute SQL arbitrário no banco de dados. Isso afeta todos os backends de banco de dados suportados (PostgreSQL, MySQL/MariaDB, SQLite). A Admin API também é afetada, embora a exploração nela exija autenticação. As versões 2.3.4, 3.5.7 e 3.6.2 contêm uma correção. Para quem não puder atualizar imediatamente, o Vendure disponibilizou um hotfix que usa RequestContextService.getLanguageCode para validar a entrada languageCode na fronteira. Isso bloqueia cargas de injeção antes que cheguem a qualquer consulta. O hotfix substitui o método getLanguageCode existente em packages/core/src/service/helpers/request-context/request-context.service.ts. Valores inválidos são descartados silenciosamente e o idioma padrão do canal é usado no lugar. As versões corrigidas também convertem a interpolação SQL vulnerável em consulta parametrizada, como defesa em profundidade.