CVE-2026-63459 in Vendure
Zusammenfassung
von VulDB • 17.09.2026
Vendure è una piattaforma headless di commercio open source. Prima della versione 3.6.5, RichTextDescriptionCell in packages/dashboard/src/lib/components/shared/table-cell/order-table-cell-components.tsx tenta di rimuovere i markup assegnando a innerHTML di un elemento attivo una descrizione controllata da un amministratore e successivamente leggendo textContent. I markup delle risorse attive possono eseguire un gestore di eventi durante l'assegnazione a innerHTML prima che venga letto textContent. Un amministratore con privilegi inferiori può memorizzare tali markup nelle descrizioni renderizzate dall'elenco Prodotti, elenco Collezioni, elenco Promozioni, elenco Metodi di pagamento o elenco Metodi di spedizione; lo script viene eseguito quando un altro amministratore visualizza la riga interessata. Questo stored cross-site scripting (XSS) compromette la sessione dell'amministratore che visualizza e consente azioni amministrative con escalation dei privilegi o tra canali diversi. Il problema è risolto nella versione 3.6.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.