ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、 こちら までご連絡ください。
Commerce Order Notes Managementにおける安全でない直接オブジェクト参照の脆弱性
変更点: 注文メモ操作で、対象の注文とメモが要求元のユーザーの仮想インスタンスに属していることを検証するようになりました。これには、メモの追加、編集、削除、および一覧表示が含まれます。
理由: ある仮想インスタンスのユーザーは、注文またはメモのIDを直接参照することで、別のインスタンスに属する注文メモを追加、編集、削除、または一覧表示できます。これは安全でない直接オブジェクト参照です。
影響を受けるユーザー: マルチインスタンス Commerce デプロイメント。
更新方法: パッチ適用済みのリリースを適用します。インスタンスをまたいだ注文メモの操作は現在ブロックされています。