判定
- 現在の判定
- Matched（該当）
- 攻撃条件
- 満たさない（AV・PR・UI がすべて N か）
- 攻撃能力
- 満たさない（RCE・認証回避・シェル取得・root 取得のいずれか）
- 根拠
- AV:N / PR:L / UI:N（CNA・CVSS 3.1） ／ 該当する攻撃能力なし
解説
- 概要
- Spree のカート関連付け API が、ゲストカートの所有確認にカートトークンを要求せず、選択したカートの所持を検証しない脆弱性です。
- 影響
- 認証済みの顧客が、条件を満たすゲストカートを自身のアカウントに関連付け、請求先・配送先住所を取得できます。また、ゲストの進行中のカートを妨害する可能性があります。
- 対象
- Spree 5.4.0 以上 5.4.4 未満、および 5.5.0 以上 5.5.4 未満。
- 対策
- Spree 5.4.4 または 5.5.4 に更新してください。
- 判定
- AV:N / PR:L / UI:N（CNA・CVSS 3.1） ／ 該当する攻撃能力なし
- 出典
-
- CVE.org: CVE-2026-94462
- https://github.com/spree/spree/security/advisories/GHSA-4825-p4xm-pcf2
- https://github.com/spree/spree/pull/14314
- https://github.com/spree/spree/commit/8834230a1f47bb5988f23f45dbd162776cf592bd
- https://github.com/spree/spree/commit/af0d1a2d582a60d179de65b7d3ea024cb26426a8
- https://github.com/spree/spree/releases/tag/v5.4.4
- https://github.com/spree/spree/releases/tag/v5.5.4
CVSS 評価
| 出所 | 版 | AV / PR / UI | ベクトル | 出所側の更新日時 |
|---|---|---|---|---|
| CNA（採用） | 3.1 | AV:N / PR:L / UI:N | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N | 2026-09-23 03:57 |
攻撃能力（AI 判定）
| RCE | 非該当 |
| 認証回避 | 非該当 |
| シェル取得 | 非該当 |
| root 取得 | 非該当 |
根拠
-
RCE ・ CNA の説明文
An authenticated customer can derive reversible prefixed cart IDs, associate an eligible guest cart with the attacker's account, and receive billing and shipping address data from the cart.
-
認証回避 ・ CNA の説明文
An authenticated customer can derive reversible prefixed cart IDs
-
シェル取得 ・ CNA の説明文
associate an eligible guest cart with the attacker's account, and receive billing and shipping address data from the cart.
-
root 取得 ・ CNA の説明文
reassignment can also disrupt the guest's in-progress cart.
モデル gpt-6-luna ・ プロンプト 2026-10-10 ・ 2026-10-13 05:56 ・ 入力 SHA-256 42755b0cae15
一致した監視対象製品
-
Ruby on Rails — 説明文で一致 （AI の判定: 影響を受けるか 非該当）
Spree is an open source e-commerce solution built with Ruby on Rails. From 5.4.0 until 5.4.4 and 5.5.4, PATCH /api/v3/store/carts/:id/associate in Spree::Api::V3::Store::CartsController#associate uses find_cart_for_association to locate a cart by prefixed_id but does not require a cart token or otherwise verify possession of the selected guest cart. An authenticated customer can derive reversible prefixed cart IDs, associate an eligible guest cart with the attacker's account, and receive billing and shipping address data from the cart. Exploitation requires a guest cart with address data on a store that does not require login for checkout, and reassignment can also disrupt the guest's in-progress cart. This issue is fixed in versions 5.4.4 and 5.5.4.
変更履歴
-
2026-09-23 04:20
- Matched（該当） と判定した
→ Matched（該当）