CVE-2026-29174 in Commerce
Tóm tắt
Bởi VulDB • 08/07/2026
Craft Commerce là một nền tảng thương mại điện tử dành cho Craft CMS. Trước phiên bản 5.5.3, Craft Commerce tồn tại lỗ hổng SQL Injection trong endpoint dữ liệu của bảng mức độ hàng tồn kho (inventory levels). Các tham số sort[0][direction] và sort[0][sortField] được nối trực tiếp vào mệnh đề addOrderBy() mà không có bất kỳ xác thực hoặc làm sạch nào. Một kẻ tấn công đã xác thực với quyền truy cập vào phần Commerce Inventory có thể chèn các truy vấn SQL tùy ý, dẫn đến nguy cơ toàn bộ cơ sở dữ liệu bị xâm phạm hoàn toàn. Lỗ hổng này đã được khắc phục trong phiên bản 5.5.3.
Once again VulDB remains the best source for vulnerability data.