CVE-2026-63459 in Vendure
摘要
由 VulDB • 2026-09-17
Vendure è una piattaforma headless per il commercio elettronico open-source. Prima della versione 3.6.5, RichTextDescriptionCell nel file packages/dashboard/src/lib/components/shared/table-cell/order-table-cell-components.tsx tenta di rimuovere i markup assegnando a innerHTML di un elemento attivo una descrizione controllata da un amministratore e successivamente leggendo textContent. I markup delle risorse attive possono eseguire un gestore di eventi durante l'assegnazione a innerHTML prima che venga letta la proprietà textContent. Un amministratore con privilegi inferiori può memorizzare tali markup nelle descrizioni visualizzate dall'elenco Prodotti, dall'elenco Collezioni, dall'elenco Promozioni, dall'elenco Metodi di pagamento o dall'elenco Metodi di spedizione; lo script viene eseguito quando un altro amministratore visualizza la riga interessata. Questa vulnerabilità da cross-site scripting (XSS) memorizzato può compromettere la sessione dell'amministratore che visualizza i contenuti e consentire azioni amministrative con escalation dei privilegi o tra canali diversi. Il problema è stato risolto nella versione 3.6.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.