CVE-2026-25486

Nome do Software Vulnerável e Versões Afetadas Craft Commerce versões 5.0.0 a 5.5.1

Descrição Existe uma vulnerabilidade de XSS armazenado no Craft Commerce que permite que atacantes executem JavaScript malicioso no navegador de um administrador. O problema decorre da sanitização insuficiente do campo Nome dos Métodos de Envio na seção Gerenciamento da Loja do painel administrativo. Um atacante pode injetar código malicioso, como <img src=x onerror="alert(document.domain)">, no campo Nome. Esse código injetado é executado quando um administrador acessa a página de métodos de envio. A prova de conceito demonstra uma possível escalada de privilégios ao explorar uma sessão com privilégios elevados, permitindo que o atacante obtenha acesso administrativo. O atacante pode explorar o XSS para roubar credenciais do administrador por meio de um modal de login falso. O endpoint da API afetado é /admin/commerce/store-management/primary/shippingmethods. O parâmetro vulnerável é o campo Nome.

Recomendações As versões 5.0.0 a 5.5.1 do Craft Commerce são afetadas e devem ser atualizadas para a versão 5.5.2 ou posterior.