[IDOR / BOLA]17 [XSS]18 [SSRF]11 [SQL INJECTION]11 [OAUTH Y SESIONES]8 [RCE]15 [APIS]9 [LÓGICA DE NEGOCIO]22 [AUTENTICACIÓN]43 [CONFIGURACIÓN]20 [CORRUPCIÓN DE MEMORIA]30 [DENEGACIÓN DE SERVICIO]40 [TLS Y CRIPTOGRAFÍA]27 [PATH TRAVERSAL]7 [OTRAS INYECCIONES]20 [EXPOSICIÓN DE DATOS]25 [OTROS]12

Resultados para “shopify”

3 resultado(s)

MEDIA#3954327

Shopify Checkout Blocks: las rutas de datos de Next.js saltaban el login de empleados y exponían 200.000 tiendas

El panel interno de Checkout Blocks solo se protegía con una regla que miraba el inicio de la URL. Pidiendo las mismas páginas por la ruta /_next/data/ de Next.js, cualquiera obtenía sin sesión la lista de tiendas instaladas y sus flags internos.

[AUTENTICACIÓN]shopify

04 nov 2026
5 min

MEDIA#2509022

XSS reflejado en el asistente de IA de help.shopify.com mediante un saludo en Markdown inyectado por CSRF

Un formulario de otra web podía fijar el saludo del asistente de IA de help.shopify.com. Ese saludo se mostraba como Markdown, y un enlace javascript: ejecutaba código en la sesión de la víctima.

[XSS]shopify

03 oct 2026
3 min

CRÍTICA#341876

De crear una tienda a ser root en Shopify: la cadena que empieza en un SSRF

Una plantilla que el generador de capturas ejecutaba permitía leer los metadatos de Google Cloud, robar el token de la cuenta de servicio y, vía Kubelet, acabar con shell root en los contenedores.

[SSRF]shopify18 visitas

22 sep 2026
2 min