CVE-2026-54644 in CubeCart
要約
〜によって VulDB • 2026年09月18日
CubeCart は EC ソフトウェアソリューションです。バージョン 6.7.5 より前では、classes/gui.class.php の _errorMessage メソッドは strip_tags を使用して、エラー、情報、および警告メッセージにおいてアンカー要素を許可していますが、安全でない href 値と onclick イベントハンドラが保持されたままになります。GUI メッセージに到達する攻撃者制御の検索または入力データには、フィルタを通じて javascript: URI やイベントハンドラが含まれる可能性があり、レンダリングされたアンカーを表示したり対話したりすることで、被害者のブラウザセッション内で JavaScript が実行され、セッションの露出や不正なアプリケーション操作が可能になります。この問題はバージョン 6.7.5 で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.