CVE-2026-60120

Nome do Software Vulnerável e Versões Afetadas Bagisto versões anteriores a 2.4.4

Description Existe um problema onde invasores não autenticados podem executar JavaScript arbitrário nos navegadores de administradores. Isso ocorre por meio de injeção de template no lado do cliente (client-side template injection), uma técnica onde um invasor injeta expressões de template que o framework do lado do cliente avalia como código. Ao registrar uma conta de cliente com um payload malicioso no campo de nome ou sobrenome, o template create.blade.php renderiza esses campos sem a diretiva v-pre do Vue.js. Consequentemente, o Vue.js avalia as expressões armazenadas como JavaScript ativo quando um administrador acessa a página de Criação de Pedido do cliente afetado.

Recommendations Atualize o Bagisto para a versão 2.4.4 ou posterior.