CVE-2026-40887

{
  "id": "CVE-2026-40887",
  "sourceIdentifier": "[email protected]",
  "published": "2026-04-21T20:17:02.397",
  "lastModified": "2026-10-26T22:10:00.163",
  "vulnStatus": "Deferred",
  "cveTags": [],
  "descriptions": [
    {
      "lang": "en",
      "value": "Vendure is an open-source headless commerce platform. Starting in version 1.7.4 and prior to versions 2.3.4, 3.5.7, and 3.6.2, an unauthenticated SQL injection vulnerability exists in the Vendure Shop API. A user-controlled query string parameter is interpolated directly into a raw SQL expression without parameterization or validation, allowing an attacker to execute arbitrary SQL against the database. This affects all supported database backends (PostgreSQL, MySQL/MariaDB, SQLite). The Admin API is also affected, though exploitation there requires authentication. Versions 2.3.4, 3.5.7, and 3.6.2 contain a patch. For those who are unable to upgrade immediately, Vendure has made a hotfix available that uses `RequestContextService.getLanguageCode` to validate the `languageCode` input at the boundary. This blocks injection payloads before they can reach any query. The hotfix replaces the existing `getLanguageCode` method in `packages/core/src/service/helpers/request-context/request-context.service.ts`. Invalid values are silently dropped and the channel's default language is used instead. The patched versions additionally convert the vulnerable SQL interpolation to a parameterized query as defense in depth."
    },
    {
      "lang": "es",
      "value": "Vendure es una plataforma de comercio headless de código abierto. A partir de la versión 1.7.4 y anterior a las versiones 2.3.4, 3.5.7 y 3.6.2, existe una vulnerabilidad de inyección SQL no autenticada en la API de la tienda Vendure. Un parámetro de cadena de consulta controlado por el usuario se interpola directamente en una expresión SQL sin procesar sin parametrización ni validación, permitiendo a un atacante ejecutar SQL arbitrario contra la base de datos. Esto afecta a todos los backends de base de datos compatibles (PostgreSQL, MySQL/MariaDB, SQLite). La API de administración también se ve afectada, aunque la explotación allí requiere autenticación. Las versiones 2.3.4, 3.5.7 y 3.6.2 contienen un parche. Para aquellos que no pueden actualizar de inmediato, Vendure ha puesto a disposición un hotfix que utiliza ’RequestContextService.getLanguageCode’ para validar la entrada ’languageCode’ en el límite. Esto bloquea las cargas útiles de inyección antes de que puedan llegar a cualquier consulta. El hotfix reemplaza el método existente ’getLanguageCode’ en ’packages/core/src/service/helpers/request-context/request-context.service.ts’. Los valores no válidos se descartan silenciosamente y se utiliza el idioma predeterminado del canal en su lugar. Las versiones parcheadas adicionalmente convierten la interpolación SQL vulnerable en una consulta parametrizada como defensa en profundidad."
    }
  ],
  "affected": [
    {
      "source": "[email protected]",
      "affectedData": [
        {
          "vendor": "vendurehq",
          "product": "vendure",
          "versions": [
            {
              "version": ">= 3.0.0, < 3.5.7",
              "status": "affected"
            },
            {
              "version": ">= 3.6.0, < 3.6.2",
              "status": "affected"
            },
            {
              "version": ">= 1.7.4, < 2.3.4",
              "status": "affected"
            }
          ]
        }
      ]
    }
  ],
  "metrics": {
    "cvssMetricV31": [
      {
        "source": "[email protected]",
        "type": "Secondary",
        "cvssData": {
          "version": "3.1",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H",
          "baseScore": 9.1,
          "baseSeverity": "CRITICAL",
          "attackVector": "NETWORK",
          "attackComplexity": "LOW",
          "privilegesRequired": "NONE",
          "userInteraction": "NONE",
          "scope": "UNCHANGED",
          "confidentialityImpact": "HIGH",
          "integrityImpact": "NONE",
          "availabilityImpact": "HIGH"
        },
        "exploitabilityScore": 3.9,
        "impactScore": 5.2
      }
    ],
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "timestamp": "2026-04-22T13:40:47.546973Z",
          "id": "CVE-2026-40887",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "role": "CISA Coordinator",
          "version": "2.0.3"
        }
      }
    ]
  },
  "weaknesses": [
    {
      "source": "[email protected]",
      "type": "Secondary",
      "description": [
        {
          "lang": "en",
          "value": "CWE-89"
        }
      ]
    }
  ],
  "references": [
    {
      "url": "https://github.com/vendurehq/vendure/security/advisories/GHSA-9pp3-53p2-ww9v",
      "source": "[email protected]"
    }
  ]
}