CVE-2026-25489

Nome do Software Vulnerável e Versões Afetadas Craft Commerce versões 4.0.0-RC1 até 4.10.0 Craft Commerce versões 5.0.0 até 5.5.1

Descrição O Craft Commerce, uma plataforma de comércio eletrônico para o Craft CMS, apresenta um problema de cross-site scripting (XSS) armazenado. O problema decorre da insuficiente sanitização dos campos Nome e Descrição dentro das Zonas Tributárias antes da exibição no painel administrativo. Isso permite que atacantes injetem e executem código JavaScript malicioso no navegador de um administrador. Um atacante poderia potencialmente elevar privilégios ao nível de administrador explorando esse problema, especialmente se uma sessão elevada estiver presente. O atacante pode explorar o XSS para criar uma sobreposição modal falsa de 'Sessão Expirada', enganando administradores a submeterem suas credenciais. O endpoint da API afetado é /admin/commerce/store-management/primary/taxzones. Os parâmetros vulneráveis são os campos Nome e Descrição.

Recomendações As versões 4.0.0-RC1 até 4.10.0 do Craft Commerce devem ser atualizadas para a versão 4.10.1 ou superior. As versões 5.0.0 até 5.5.1 do Craft Commerce devem ser atualizadas para a versão 5.5.2 ou superior.