CVE-2026-25522

Nome do Software Vulnerável e Versões Afetadas Craft Commerce versões 4.0.0-RC1 a 4.10.0 Craft Commerce versões 5.0.0 a 5.5.1

Descrição Craft Commerce, uma plataforma de comércio eletrônico para o Craft CMS, contém um problema de cross-site scripting armazenado (XSS). A vulnerabilidade está presente nos campos Zona de Envio (Nome e Descrição) na seção Gerenciamento da Loja, que não são adequadamente sanitizados antes de serem exibidos no painel administrativo. Isso permite que atacantes insiram código JavaScript malicioso que é executado no navegador de um administrador. Um atacante pode potencialmente elevar seus privilégios para o nível de administrador ao explorar essa vulnerabilidade, especialmente se uma sessão de administrador já estiver ativa. A exploração envolve a criação de uma carga maliciosa, como <img src=x onerror="alert(document.domain)">, e sua inserção no campo Nome da Zona de Envio por meio do ponto final da API /admin/commerce/store-management/primary/shippingzones. O script injetado pode então ser usado para roubar credenciais de administrador por meio de um modal de login falso ou elevar diretamente a conta do atacante a privilégios de administrador usando uma requisição POST criada para o ponto final da API /admin/users/<UserID>/permissions, onde UserID representa o ID do usuário do atacante. A variável CRAFT CSRF TOKEN também é utilizada na requisição maliciosa.

Recomendações As versões 4.0.0-RC1 a 4.10.0 do Craft Commerce devem ser atualizadas para a versão 4.10.1 ou posterior. As versões 5.0.0 a 5.5.1 do Craft Commerce devem ser atualizadas para a versão 5.5.2 ou posterior.