CVE-2026-63459

Vendure açık kaynaklı bir headless ticaret platformudur. 3.6.5 sürümünden önce, packages/dashboard/src/lib/components/shared/table-cell/order-table-cell-components.tsx içerisindeki RichTextDescriptionCell, yönetici tarafından kontrol edilen bir açıklamayı canlı bir öğenin innerHTML özelliğine atayarak ve ardından textContent değerini okuyarak işaretlemeleri temizlemeye çalışır. Aktif kaynak işaretlemeleri, textContent okunmadan önce innerHTML ataması sırasında bir olay işleyiciyi (event handler) çalıştırabilir. Daha düşük yetkili bir yönetici; bu tür işaretlemeleri Products listesi, Collections listesi, Promotions listesi, Payment Methods listesi veya Shipping Methods listesi tarafından oluşturulan açıklamalarda saklayabilir ve etkilenen satırı başka bir yönetici görüntülediğinde betik çalışır. Bu saklanan siteler arası betik çalıştırma (XSS), görüntüleyen yöneticinin oturumunu tehlikeye atabilir ve ayrıcalıklar arası veya kanallar arası yönetimsel işlemleri mümkün kılabilir. Bu sorun 3.6.5 sürümünde düzeltilmiştir.