p PatchFirst

CVE-2026-21446

CVE-2026-21446 · Bagisto Missing Authentication on Installer API Endpoints

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Bagisto is an open source laravel eCommerce platform. In versions on the 2.3 branch prior to 2.3.10, API routes remain active even after initial installation is complete. The underlying API endpoints (`/install/api/*`) are directly accessible and exploitable without any authentication. An attacker can bypass the Ib installer entirely by calling the API endpoints directly. This allows any unauthenticated attacker to create admin accounts, modify application configurations, and potentially overwrite existing data. Version 2.3.10 fixes the issue.

CVSS 8.8 · Alta · EPSS 0,6% · Corrección disponible

Publicación
Actualización

Pila tecnológica: php

Productos y versiones afectados

  • bagisto

    Versiones
    • >= 2.3.0, < 2.3.10: Afectada

    Sin corrección publicada

  • bagisto/bagisto Packagist

    Versiones
    • v2.3.0
    • v2.3.1
    • v2.3.2
    • v2.3.3
    • v2.3.4
    • v2.3.5
    • v2.3.6
    • v2.3.7
    • v2.3.8
    • v2.3.9
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 2.3.0, < 2.3.10

    Actualiza a 2.3.10

Fuentes originales

Comprueba tu servidor →