SpreeはRuby on Railsで構築されたオープンソースのeコマースソリューションです。バージョン4.10.2、5.0.7、5.1.9、および5.2.5より前のバージョンには、認証済みのユーザーが既存の注文を変更することで他のユーザーの住所情報を取得できる、認証済みの不適切な直接オブジェクト参照（IDOR）脆弱性が存在していました。ユーザーは正当に所有する注文を編集してリクエスト内の住所識別子を操作することで、バックエンドサーバーが他のユーザーに属する住所への参照を受け入れ処理し、その住所を攻撃者の注文と関連付けてレスポンスとして返す可能性があります。この問題はバージョン4.10.2、5.0.7、5.1.9、および5.2.5で修正されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。