CVE-2026-25490

Nome do Software Vulnerável e Versões Afetadas Craft Commerce versões 4.0.0-RC1 até 4.10.0 Craft Commerce versões 5.0.0 até 5.5.1

Descrição O Craft Commerce, uma plataforma de comércio eletrônico para o Craft CMS, apresenta um problema de cross-site scripting (XSS) armazenado. O problema decorre da sanitização insuficiente do campo 'Linha 1 do Endereço' dentro das Localizações de Estoque antes da exibição no painel administrativo. Isso permite que atacantes insiram código JavaScript malicioso que é executado no navegador de um administrador. Um atacante pode potencialmente elevar seus privilégios ao nível de administrador ao explorar esse problema, especialmente se existir uma sessão com privilégios elevados. A prova de conceito demonstra que um atacante pode injetar uma carga maliciosa no campo 'Linha 1 do Endereço', que então executa JavaScript quando a página é carregada. Uma carga maliciosa pode ser usada para roubar credenciais de administrador por meio de um modal de login falso ou elevar diretamente a conta do atacante ao status de administrador.

Recomendações As versões 4.0.0-RC1 até 4.10.0 do Craft Commerce devem ser atualizadas para a versão 4.10.1 ou posterior. As versões 5.0.0 até 5.5.1 do Craft Commerce devem ser atualizadas para a versão 5.5.2 ou posterior.