CVE-2026-54644 in CubeCart
요약
\~에 의해 VulDB • 2026. 09. 18.
CubeCart은 전자상거래 소프트웨어 솔루션입니다. 버전 6.7.5 이전의 `classes/gui.class.php`에 있는 `_errorMessage` 메서드는 `strip_tags`를 사용하여 오류, 정보 및 경고 메시지에서 `<a>`(anchor) 요소를 허용하지만, 안전하지 않은 `href` 값과 `onclick` 이벤트 핸들러는 그대로 유지합니다. GUI 메시지에 도달하는 공격자가 제어할 수 있는 검색 또는 입력 데이터는 필터를 통해 `javascript:` URI나 이벤트 핸들러를 전달할 수 있으며, 렌더링된 `<a>` 요소를 보거나 상호작용하면 피해자의 브라우저 세션에서 JavaScript가 실행되어 세션 노출이나 무단 애플리케이션 작업이 가능해집니다. 이 문제는 버전 6.7.5에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.