CVE-2026-25482

Nome do Software Vulnerável e Versões Afetadas Versões do Craft Commerce 4.0.0-RC1 até 4.10.0 Versões do Craft Commerce 5.0.0 até 5.5.1

Descrição Existe uma vulnerabilidade de Cross-Site Scripting (XSS) DOM armazenado no widget do painel "Pedidos Recentes". O Nome do Status do Pedido é renderizado usando concatenação de strings JavaScript sem o escapamento apropriado, o que permite a execução de scripts quando um administrador acessa o painel. O problema ocorre porque a variável value.name, que representa o Nome do Status do Pedido, é concatenada diretamente em uma string HTML sem sanitização. Isso permite que tags ou scripts maliciosos contidos no nome sejam executados quando o HTML é inserido no DOM. O arquivo vulnerável é vendor/craftcms/commerce/src/templates/ components/widgets/orders/recent/body.twig.

Recomendações Versões do Craft Commerce 4.0.0-RC1 até 4.10.0: Atualize para a versão 4.10.1 ou posterior. Versões do Craft Commerce 5.0.0 até 5.5.1: Atualize para a versão 5.5.2 ou posterior.