CVE-2026-63459 in Vendure
要約
〜によって VulDB • 2026年09月17日
Vendure はオープンソースのヘッドレスコマースプラットフォームです。バージョン 3.6.5 より前では、packages/dashboard/src/lib/components/shared/table-cell/order-table-cell-components.tsx の RichTextDescriptionCell が、管理者が制御可能な説明文をライブ要素の innerHTML に割り当てることでマークアップを除去しようとし、その後 textContent を読み取ります。アクティブなリソースのマークアップは、textContent が読み取られる前に innerHTML の割り当て中にイベントハンドラを実行する可能性があります。権限の低い管理者は、Products リスト、Collections リスト、Promotions リスト、Payment Methods リスト、Shipping Methods リストによってレンダリングされる説明文にこのようなマークアップを保存でき、別の管理者が影響を受ける行を表示した際にスクリプトが実行されます。この格納型クロスサイトスクリプティング (XSS) は、閲覧中の管理者のセッションを侵害し、権限昇格またはチャネル横断的な管理操作を可能にします。本問題はバージョン 3.6.5 で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.