ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、 こちら までご連絡ください。
コマースサブスクリプションにおける安全でない直接オブジェクト参照の脆弱性
変更点: サブスクリプション操作で、対象のサブスクリプションエントリが要求元のユーザーの仮想インスタンスに属していることを検証するようになりました。これには、購読エントリの閲覧、編集、および削除が含まれます。
理由: 権限の高い認証済みユーザーは、サブスクリプションエントリIDを直接参照することで、別の仮想インスタンスに属するPayPalサブスクリプションを表示、編集、または削除できます。これは安全でない直接オブジェクト参照です。
影響を受けるユーザー: PayPal サブスクリプションを使用するマルチインスタンス Commerce デプロイメント。
更新方法: パッチ適用済みのリリースを適用します。インスタンスをまたいだサブスクリプション操作は現在ブロックされています。