CVE-2026-63459 in Vendure
Resumen
por VulDB • 2026-09-17
Vendure es una plataforma de comercio electrónico headless y de código abierto. Antes de la versión 3.6.5, RichTextDescriptionCell en packages/dashboard/src/lib/components/shared/table-cell/order-table-cell-components.tsx intenta eliminar el marcado asignando una descripción controlada por un administrador al innerHTML de un elemento activo y luego leyendo textContent. El marcado de recursos activos puede ejecutar un manejador de eventos durante la asignación del innerHTML antes de que se lea textContent. Un administrador con privilegios más bajos puede almacenar dicho marcado en descripciones renderizadas por las listas de Productos, Colecciones, Promociones, Métodos de Pago o Métodos de Envío, y el script se ejecuta cuando otro administrador visualiza la fila afectada. Esta vulnerabilidad de cross-site scripting (XSS) almacenado puede comprometer la sesión del administrador que visualiza los datos y permitir acciones administrativas con escalación de privilegios o entre canales. Este problema está resuelto en la versión 3.6.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.