CVE-2026-25483
Təsvir
Craft Commerce, Craft CMS üçün elektron ticarət platformasıdır. 4.0.0-RC1-dən 4.10.0-a qədər və 5.0.0-dan 5.5.1-ə qədər olan versiyalarda Craft Commerce-in Order Status History Message hissəsində saxlanılan XSS zəifliyi mövcuddur. Mesaj, xam HTML-ə icazə verən |md filtri vasitəsilə render edilir ki, bu da zərərli skriptlərin icrasını mümkün edir. Əgər istifadəçinin verilənlər bazasının ehtiyat nüsxələmə alətinə dair icazələri varsa (hansı ki, yüksəldilmiş sessiya tələb etmir), hücumçu bütün istifadəçi etibarnamələri, müştəri PII məlumatları, sifariş tarixçəsi və 2FA bərpa kodları daxil olmaqla, bütün verilənlər bazasını sızdıra bilər. Bu problem 4.10.1 və 5.5.2 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- craftcms craft_commerce4.10.1, 5.5.2 və ya daha yeni versiya
- craftcms/commerce5.5.2, 4.10.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| craftcms craft_commerce | 4.0.1 ≤ v < 4.10.1, 5.0.0 ≤ v < 5.5.2, 4.0.0 | 4.10.1, 5.5.2 |
| craftcms/commercePackagist | 5.0.0 ≤ v < 5.5.2, 4.0.0-RC1 ≤ v < 4.10.1 | 5.5.2, 4.10.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.