Veille sécuritéCMS & e-commerce
P3Élevée
Dans certaines applications utilisant shopify_app, une requête authentifiée pour une boutique pouvait fournir un paramètre shop désignant une autre boutique, et le contexte exposé par current_shopify_domain pouvait alors être erroné. Si l’application se servait de ce contexte pour l’autorisation, la sélection de jetons ou l’accès aux données d’une boutique, cela pouvait permettre des accès ou actions non autorisés.
Shopify
IdentifiantCVE-2026-63414
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctifshopify_app 23.0.3
Source : GitHub Advisory Database — GHSA-6j52-38f8-qhxr
Analyse technique
La correction lie current_shopify_domain à la boutique authentifiée, expose séparément les boutiques authentifiée et demandée, et rejette avec HTTP 401 les requêtes token-exchange dont les boutiques ne correspondent pas.
Impact, versions et correctif
Événement datéL’avis GitHub indique une publication le 2026-10-29 à 16:39:49Z, soit 2026-10-29T18:39:49+02:00, dans la période demandée. La publication NVD signalée le 2026-10-30 est postérieure à la borne de fin et n’est pas retenue comme événement.
ImpactSelon le modèle d’autorisation de l’application concernée, un utilisateur disposant d’un jeton de session Shopify valide pour une boutique pouvait potentiellement accéder aux données d’une autre boutique ou y effectuer des actions.
Versions affectéesshopify_app >= 22.1.0, < 23.0.3
Version corrigéeshopify_app 23.0.3
ContournementNe pas utiliser params[:shop] pour les décisions de sécurité ou le cloisonnement des données; comparer toute boutique demandée à l’identité issue du jeton vérifié ou de la session et rejeter les divergences.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-29T18:39:49+02:00
Mise à jour2026-10-29T18:39:49+02:00
Détection / vérification
Vérifier la version de la gemme shopify_app et l’usage de l’authentification token-exchange avec le paramètre shop dans les contrôleurs authentifiés.
Action recommandée
Mettre à niveau vers shopify_app 23.0.3 ou une version ultérieure et vérifier que les contrôleurs utilisent l’identité de boutique authentifiée pour les contrôles d’accès.
Sources
Priorisation DFS : P3 · 1 source(s).