Vulnerabilidades de Vendurehq

Vendure é uma plataforma de comércio headless de código aberto. A partir da versão 1.7.4 e antes das versões 2.3.4, 3.5.7 e 3.6.2, existe uma vulnerabilidade de injeção de SQL sem autenticação na Shop API do Vendure. Um parâmetro de string de consulta controlado pelo usuário é inserido diretamente em uma expressão SQL bruta, sem parametrização ou validação, o que permite que um atacante execute SQL arbitrário no banco de dados. Isso afeta todos os backends de banco de dados suportados (PostgreSQL, MySQL/MariaDB, SQLite). A Admin API também é afetada, embora a exploração nela exija autenticação. As versões 2.3.4, 3.5.7 e 3.6.2 contêm uma correção. Para quem não puder atualizar imediatamente, o Vendure disponibilizou um hotfix que usa RequestContextService.getLanguageCode para validar a entrada languageCode na fronteira. Isso bloqueia cargas de injeção antes que cheguem a qualquer consulta. O hotfix substitui o método getLanguageCode existente em packages/core/src/service/helpers/request-context/request-context.service.ts. Valores inválidos são descartados silenciosamente e o idioma padrão do canal é usado no lugar. As versões corrigidas também convertem a interpolação SQL vulnerável em consulta parametrizada, como defesa em profundidade.