CVE-2026-54645 in CubeCart
الملخص
بحسب VulDB • 18/09/2026
CubeCart هو حل برمجي للتجارة الإلكترونية. قبل الإصدار 6.7.5، يقوم الملف admin/sources/products.index.inc.php بقراءة حقول النص الغني (rich-text) الخاصة بالوصف (description)، والوصف المختصر (description_short)، ونسخ المواصفات (spec_copy) من $GLOBALS['RAW']['POST']، ويقوم بإزالة عناصر script فقط قبل تخزين القيم وعرضها عبر قوالب Smarty. يمكن لمدير النظام يمتلك صلاحيات تعديل المنتجات تخزين سمات معالجات الأحداث (event-handler attributes)، أو محتوى SVG، أو روابط URI تبدأ بـ javascript: التي تتجاوز هذا الفلتر، مما يؤدي إلى تنفيذ مستمر لأكواد JavaScript عند قيام زائر للمتجر الإلكتروني أو مدير آخر بعرض محتويات المنتج، ويتيح ذلك كشف الجلسة (session exposure) أو إجراء إجراءات غير مصرح بها في سياق المتصفح. تم إصلاح هذه المشكلة في الإصدار 6.7.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.