CVE-2026-54645 in CubeCart
Riassunto
di VulDB • 18/09/2026
CubeCart è una soluzione software per l'e-commerce. Prima della versione 6.7.5, il file admin/sources/products.index.inc.php legge i campi rich-text description, description_short e spec_copy da $GLOBALS['RAW']['POST'] ed elimina solo gli elementi script prima che i valori vengano memorizzati e resi tramite template Smarty. Un amministratore con diritti di modifica del prodotto può salvare attributi event-handler, contenuti SVG o URI javascript: che bypassano questo filtro, causando l'esecuzione persistente di JavaScript quando un visitatore dello storefront o un altro amministratore visualizza il contenuto del prodotto, consentendo l'esposizione della sessione o azioni non autorizzate nel contesto del browser. Questo problema è risolto nella versione 6.7.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.