PT-2026-24417 · Pixel & Tonic · Craft Commerce

Mhe4Am · CVE-2026-29175 · Publicado 2026-03-10 · Atualizado 2026-03-10

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Craft Commerce anteriores à 5.5.3

Descrição O Craft Commerce, uma plataforma de e-commerce para o Craft CMS, contém uma vulnerabilidade de cross-site scripting armazenado na página de Inventário do Commerce. Os campos Título do Produto, Título da Variante e SKU da Variante não possuem escape de HTML adequado, o que permite que um atacante execute JavaScript arbitrário quando um usuário visualiza a página de gerenciamento de inventário. Isso afeta todos os usuários, incluindo administradores.

Recomendações Atualize para a versão 5.5.3 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-29175

GHSA-CFPV-RMPF-F624

Produtos afetados

Craft Commerce

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/29xxx/CVE-2026-29175.json · Exploit
• 🔥 https://github.com/craftcms/commerce/security/advisories/GHSA-cfpv-rmpf-f624 · Exploit
• https://github.com/craftcms/commerce/commit/9f0638a4fb29ed8295a463385a7cc49ec986e33a · Correção
• https://github.com/craftcms/commerce · Nota
• https://osv.dev/vulnerability/CVE-2026-29175 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-29175 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-cfpv-rmpf-f624 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2031504136798130195 · Publicação no Twitter