CVE-2026-63459

Vendure açıq mənbəli headless ticarət platformasıdır. Versiya 3.6.5-dən əvvəl, packages/dashboard/src/lib/components/shared/table-cell/order-table-cell-components.tsx faylındakı RichTextDescriptionCell komponenti, administrator tərəfindən idarə olunan təsviri canlı elementin innerHTML-nə təyin etməklə və sonra textContent-i oxumaqla markapı təmizləməyə çalışır. Aktiv resurs markapı, textContent oxunmazdan əvvəl innerHTML təyini zamanı hadisə idarəçisini (event handler) icra edə bilər. Aşağı səlahiyyətli administrator belə bir markapı Products siyahısı, Collections siyahısı, Promotions siyahısı, Payment Methods siyahısı və ya Shipping Methods siyahısında göstərilən təsvirlərdə saxlaya bilər və digər administrator təsirə məruz qalmış sətirə baxdıqda skript icra olunur. Bu saxlanılmış saytlararası skriptinq (XSS), baxan administratorun sessiyasını təhlükə altına ata bilər və fərqli səlahiyyətlər və ya kanallar arası inzibati hərəkətləri mümkün edə bilər. Bu problem versiya 3.6.5-də düzəldilmişdir.