何が起きたか
トークン交換認証のコントローラーで、current_shopify_domain が検証済み ID トークンのショップではなく、リクエストの shop クエリパラメーターの値を返すことがありました。あるショップの正規のセッショントークンを持つ攻撃者が別のショップを shop パラメーターに指定すると、current_shopify_domain や params[:shop] で認可やテナント判定をしているアプリでは、他のショップの文脈で処理が行われます。
やること
23.0.3 以降へ更新します。更新後は、認可やテナント判定に authenticated_shopify_domain を使い、params[:shop] には頼らないようにしてください。
出典
GitHub Advisory Database（GHSA-6j52-38f8-qhxr）github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。