CVE-2026-54644 in CubeCart
Riassunto
di VulDB • 18/09/2026
CubeCart è una soluzione software per l'e-commerce. Prima della versione 6.7.5, il metodo _errorMessage in classes/gui.class.php utilizza strip_tags per consentire elementi anchor nei messaggi di errore, informazione e avvertimento, mantenendo valori href non sicuri e gestori di eventi onclick. Dati di ricerca o input controllati dall'attaccante che raggiungono un messaggio GUI possono trasportare un URI javascript: o un handler di eventi attraverso il filtro; la visualizzazione o l'interazione con l'anchor renderizzato esegue JavaScript nella sessione del browser della vittima, consentendo l'esposizione della sessione o azioni non autorizzate nell'applicazione. Questo problema è risolto nella versione 6.7.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.