CVE-2026-63459 in Vendure
요약
\~에 의해 VulDB • 2026. 09. 17.
Vendure는 오픈소스 헤드리스 커머스 플랫폼입니다. 버전 3.6.5 이전의 packages/dashboard/src/lib/components/shared/table-cell/order-table-cell-components.tsx에 있는 RichTextDescriptionCell은 관리자 제어 설명을 live 요소의 innerHTML에 할당한 후 textContent를 읽음으로써 마크업을 제거하려고 시도합니다. 그러나 active resource markup는 textContent가 읽히기 전에 innerHTML 할당 중에 이벤트 핸들러를 실행할 수 있습니다. 권한이 낮은 관리자는 Products 목록, Collections 목록, Promotions 목록, Payment Methods 목록 또는 Shipping Methods 목록에서 렌더링되는 설명에 이러한 마크업을 저장할 수 있으며, 다른 관리자가 해당 행을 볼 때 스크립트가 실행됩니다. 이 저장된 크로스 사이트 스캐핑(XSS)은 뷰어 관리자의 세션을 침해하고 권한 상승 또는 채널 간 관리자 작업을 가능하게 합니다. 이 문제는 버전 3.6.5에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.