CVE-2026-25485

Nome do Software Vulnerável e Versões Afetadas Versões do Craft Commerce 4.0.0-RC1 até 4.10.0 Versões do Craft Commerce 5.0.0 até 5.5.1

Descrição O Craft Commerce, uma plataforma de ecommerce para Craft CMS, contém uma vulnerabilidade de cross-site scripting (XSS) armazenado. A vulnerabilidade reside nos campos Categorias de Envio (Nome e Descrição) dentro da seção Gerenciamento da Loja do painel de administração. A sanitização inadequada da entrada nesses campos permite que atacantes injetem código JavaScript malicioso. A exploração bem-sucedida pode levar à execução de JavaScript arbitrário no navegador de um administrador. Um atacante poderia potencialmente escalar privilégios para o nível de administrador explorando este problema, especialmente se existir uma sessão com privilégios elevados. O atacante pode aproveitar o XSS para criar um modal de login falso de 'Sessão Expirada', enganando os administradores para que enviem suas credenciais. Os campos vulneráveis estão localizados no endpoint /admin/commerce/store-management/primary/shippingcategories. Os parâmetros Name e Description são vulneráveis a ataques XSS.

Recomendações As versões do Craft Commerce 4.0.0-RC1 até 4.10.0 devem ser atualizadas para a versão 4.10.1 ou posterior. As versões do Craft Commerce 5.0.0 até 5.5.1 devem ser atualizadas para a versão 5.5.2 ou posterior.