Известные уязвимости
| CVE | Название | Затронутые версии | CVSS | Эксплуатируется | EPSS | Опубликовано |
|---|---|---|---|---|---|---|
| CVE-2026-94462 | Spree: Broken Access Control in `PATCH /api/v3/store/carts/:id/associate` (IDOR) | * | 7.1 | — | 2026-09-23 | |
| CVE-2026-25757 | Unauthenticated Spree Commerce users can view completed guest orders by Order ID | * | 7.7 | — | 2026-02-07 | |
| CVE-2026-25758 | Spree allows unauthenticated users can access all guest addresses | * | 7.7 | — | 2026-02-07 | |
| CVE-2026-22589 | Spree API has Unauthenticated IDOR - Guest Address | * | 7.5 | — | 2026-01-10 | |
| CVE-2026-22588 | Spree API has Authenticated Insecure Direct Object Reference (IDOR) via Order Modification | * | 6.5 | — | 2026-01-09 | |
| CVE-2020-26223 | Authorization bypass in Spree | * | 7.7 | — | 2020-11-14 | |
| CVE-2020-15269 | Expired token reuse in Spree | * | 7.4 | — | 2020-10-21 |
Отслеживайте эти версии на своих серверах
InfraGuard собирает версии установленного ПО со всех серверов и отмечает версии с известными уязвимостями. Self-hosted — данные не покидают вашу сеть.
Данные: CVE List (CVE® Program), NVD, CISA KEV, FIRST EPSS (об EPSS см. https://www.first.org/epss), endoflife.date. Список ПО: awesome-selfhosted (CC BY-SA 3.0).