CVE-2026-63459 in Vendure
الملخص
بحسب VulDB • 17/09/2026
Vendure هو منصة تجارة إلكترونية مفتوحة المصدر تعمل بنظام headless (بدون واجهة أمامية). قبل الإصدار 3.6.5، يحاول مكون RichTextDescriptionCell الموجود في packages/dashboard/src/lib/components/shared/table-cell/order-table-cell-components.tsx إزالة علامات التنسيق عن طريق تعيين وصف يتحكم فيه مسؤول لـ innerHTML لعنصر حي، ثم قراءة نصه عبر textContent. يمكن للعلامات الموجودة داخل الموارد النشطة تنفيذ معالج أحداث أثناء عملية التعيين إلى innerHTML قبل أن يتم قراءة textContent. يمكن لمسؤول ذي امتيازات أقل تخزين مثل هذه العلامات في الأوصاف التي تعرضها قوائم المنتجات (Products list)، وقوائم المجموعات (Collections list)، وقوائم العروض الترويجية (Promotions list)، وقوائم طرق الدفع (Payment Methods list)، أو قوائم طرق الشحن (Shipping Methods List)، وينفذ السكربت عندما يقوم مسؤول آخر بعرض الصف المتأثر. يمكن لهذا ثغرة تخزين البرمجة عبر المواقع (Stored Cross-Site Scripting) أن تعرض جلسة العمل الخاصة بالمسؤول الذي يشاهد المحتوى للخطر، وتتيح تنفيذ إجراءات إدارية تتجاوز الامتيازات أو القنوات المختلفة. تم إصلاح هذه المشكلة في الإصدار 3.6.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.