Commerce Product Alternative - Critical - Access bypass - SA-CONTRIB-2026-301
Critical
拡張モジュール
日本時間2026/11/5、Commerce Product Alternativeにおいて脆弱性が発表されました。
お使いのバージョンを確認の上、対応をおすすめします。
●プロジェクト ： Commerce Product Alternative
●投稿日 ：2026/11/5 JST
●セキュリティリスク ：Critical
●脆弱性 ：Access bypass
●対象バージョン ： <1.0.1
==概要==
このモジュールは、顧客がカート内の商品を、その商品に設定された代替の商品バリエーションのいずれかに置き換えられる機能を提供します。
このモジュールでは、ログインしていない訪問者の場合に、カートが現在の訪問者のものであるかどうかを確認していません。匿名の訪問者が、他の匿名の訪問者のカート内の商品（商品名や価格を含む）を閲覧し、それらの商品を、設定された代替商品のいずれかに置き換えることができます。
この脆弱性が影響するのは、匿名の訪問者のカートのみです。認証済みの顧客のカートは影響を受けません。
==解決方法==
最新バージョンをインストールしてください。
Commerce Product Alternativeモジュールを利用している場合は Commerce Product Alternative 1.0.1 にアップデートしてください。
