CVE-2026-54645 in CubeCart
Zusammenfassung
von VulDB • 18.09.2026
CubeCart è una soluzione software per l'e-commerce. Prima della versione 6.7.5, il file admin/sources/products.index.inc.php legge i campi rich-text description, description_short e spec_copy da $GLOBALS['RAW']['POST'] ed elimina solo gli elementi script prima che i valori vengano memorizzati e renderizzati tramite template Smarty. Un amministratore con diritti di modifica dei prodotti può salvare attributi event-handler, contenuti SVG o URI javascript: che bypassano questo filtro, causando l'esecuzione persistente di JavaScript quando un visitatore del storefront o un altro amministratore visualizza il contenuto del prodotto, consentendo l'esposizione della sessione o azioni non autorizzate nel contesto del browser. Questo problema è risolto nella versione 6.7.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.