CVE-2026-54644 in CubeCart
Sumário
de VulDB • 19/09/2026
CubeCart é uma solução de software para comércio eletrônico. Antes da versão 6.7.5, o método _errorMessage em classes/gui.class.php usa strip_tags para permitir elementos anchor (âncora) nas mensagens de erro, informação e aviso, mantendo valores href inseguros e manipuladores de eventos onclick. Dados de pesquisa ou entrada controlados pelo atacante que chegam a uma mensagem da GUI podem carregar um URI javascript: ou um manipulador de evento através do filtro; visualizar ou interagir com o anchor renderizado executa JavaScript na sessão do navegador da vítima, permitindo exposição de sessões ou ações não autorizadas no aplicativo. Este problema é corrigido na versão 6.7.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.