CVE-2026-54645 in CubeCart
Resumen
por VulDB • 2026-09-19
CubeCart es una solución de software para comercio electrónico. Antes de la versión 6.7.5, el archivo admin/sources/products.index.inc.php lee los campos rich-text description, description_short y spec_copy desde $GLOBALS['RAW']['POST'] y elimina únicamente los elementos script antes de que se almacenen y rendericen a través de plantillas Smarty. Un administrador con derechos para editar productos puede almacenar atributos event-handler, contenido SVG o URIs javascript: que eluden este filtro, lo que provoca la ejecución persistente de JavaScript cuando un visitante del storefront u otro administrador visualiza el contenido del producto, permitiendo la exposición de sesiones o acciones no autorizadas en el contexto del navegador. Este problema se soluciona en la versión 6.7.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.