PT-2026-24418 · Pixel & Tonic · Craft Commerce

Mhe4Am · CVE-2026-29176 · Publicado 2026-03-10 · Atualizado 2026-03-10

Positive Technologies (AI Summary) · Pt

CVSS v4.0

4.8

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Craft Commerce anteriores à 5.5.3

Descrição O Craft Commerce, uma plataforma de comércio eletrônico para o Craft CMS, contém uma vulnerabilidade de cross-site scripting armazenado (XSS). O problema está localizado na página Configurações do Commerce - Locais de Estoque, onde o campo Nome não é sanitizado corretamente antes de ser exibido, permitindo que um atacante injete e execute código JavaScript arbitrário. Isso pode ser acionado quando um administrador ou um usuário com permissões de edição de produtos cria ou edita uma variante de produto.

Recomendações Atualize para a versão 5.5.3 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-29176

GHSA-WJ89-2385-GPX3

Produtos afetados

Craft Commerce

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/29xxx/CVE-2026-29176.json · Exploit
• https://github.com/craftcms/commerce/security/advisories/GHSA-wj89-2385-gpx3 · Aviso do Fabricante
• https://github.com/craftcms/commerce/commit/da143df084563ddf0929d7c261bcc11d312e8004 · Correção
• https://github.com/craftcms/commerce · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-29176 · Nota de Segurança
• https://twitter.com/CVEnew/status/2031504134709387579 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-wj89-2385-gpx3 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-29176 · Aviso do Fabricante