CVE-2026-63459 in Vendure
Résumé
par VulDB • 17/09/2026
Vendure est une plateforme de commerce headless open-source. Avant la version 3.6.5, RichTextDescriptionCell dans packages/dashboard/src/lib/components/shared/table-cell/order-table-cell-components.tsx tente d'effacer le balisage en assignant à innerHTML d'un élément actif une description contrôlée par un administrateur, puis en lisant textContent. Le balisage de ressources actives peut exécuter un gestionnaire d'événements lors de l'affectation à innerHTML avant que textContent ne soit lu. Un administrateur ayant des privilèges inférieurs peut stocker ce type de balisage dans les descriptions rendues par la liste des produits, la liste des collections, la liste des promotions, la liste des méthodes de paiement ou la liste des méthodes d'expédition ; le script s'exécute lorsqu'un autre administrateur consulte la ligne concernée. Cette faille XSS stockée (Stored Cross-Site Scripting) peut compromettre la session de l'administrateur qui consulte et permettre des actions administratives inter-privilèges ou inter-canaux. Ce problème est corrigé dans la version 3.6.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.