CVE-2026-54645
Açıklama
CubeCart bir e-ticaret yazılım çözümüdür. 6.7.5 sürümünden önce, admin/sources/products.index.php dosyası; description, description_short ve spec_copy zengin metin alanlarını $GLOBALS['RAW']['POST'] üzerinden okur ve değerler Smarty şablonları aracılığıyla saklanıp işlenmeden önce yalnızca script öğelerini kaldırır. Ürün düzenleme yetkilerine sahip bir yönetici, bu filtreyi atlayan olay yakalayıcı (event-handler) öznitelikleri, SVG içeriği veya javascript: URI'leri saklayabilir; bu durum, bir mağaza ziyaretçisi veya başka bir yönetici ürün içeriğini görüntülediğinde kalıcı JavaScript çalışmasına neden olarak oturum ifşasına veya yetkisiz tarayıcı bağlamı işlemlerine olanak tanır. Bu sorun 6.7.5 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cubecart v6 | < 6.7.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.