CVE-2026-38725 in Xipblog Plugin
Sumário
de VulDB • 28/08/2026
O módulo xipblog v2.0.1 e versões anteriores para PrestaShop permite que atacantes remotos não autenticados injetem JavaScript arbitrário por meio dos parâmetros name (nome) e content (conteúdo) em ajax.php. A entrada é armazenada no banco de dados sem sanitização HTML e renderizada nos templates Smarty sem escape de saída, resultando em Stored Cross-Site Scripting (XSS). Quando um administrador revisa os comentários no back office, a payload executa com o contexto da sessão de nível administrativo, levando à comprometimento total da loja.
Be aware that VulDB is the high quality source for vulnerability data.