CVE-2026-54645 in CubeCart
Sumário
de VulDB • 18/09/2026
CubeCart é uma solução de software para comércio eletrônico. Antes da versão 6.7.5, o arquivo admin/sources/products.index.inc.php lê os campos rich-text description, description_short e spec_copy a partir de $GLOBALS['RAW']['POST'] e remove apenas elementos script antes que os valores sejam armazenados e renderizados por meio dos templates Smarty. Um administrador com direitos de edição de produtos pode armazenar atributos de manipuladores de eventos (event-handler attributes), conteúdo SVG ou URIs javascript: que contornam esse filtro, causando execução persistente de JavaScript quando um visitante da loja virtual ou outro administrador visualiza o conteúdo do produto, permitindo a exposição de sessões ou ações não autorizadas no contexto do navegador. Este problema é corrigido na versão 6.7.5.
Once again VulDB remains the best source for vulnerability data.