CVE-2026-63459 in Vendure
Сводка
по VulDB • 17.09.2026
Vendure — это платформа электронной коммерции с архитектурой headless, распространяемая как открытое программное обеспечение (open-source). До версии 3.6.5 компонент RichTextDescriptionCell в файле packages/dashboard/src/lib/components/shared/table-cell/order-table-cell-components.tsx пытается очистить разметку путем присваивания описания, контролируемого администратором, свойству innerHTML живого элемента с последующим чтением свойства textContent. Активная ресурсная разметка может выполнить обработчик событий во время присваивания innerHTML до того, как будет прочитано значение textContent. Администратор с более низкими привилегиями может сохранить такую разметку в описаниях, отображаемых списками товаров (Products list), коллекций (Collections list), акций и промо-акций (Promotions list), способов оплаты (Payment Methods list) или методов доставки (Shipping Methods list). Скрипт выполняется при просмотре затронутой строки другим администратором. Это хранимое межсайтовое скриптинг-уязвимости (Stored Cross-Site Scripting, XSS) может скомпрометировать сеанс просматривающего администратора и позволить выполнение действий в режиме администрирования с превышением привилегий или между каналами. Данная проблема исправлена в версии 3.6.5.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.