PT-2026-24419 · Pixel & Tonic · Craft Commerce

Mhe4Am · CVE-2026-29177 · Publicado 2026-03-10 · Atualizado 2026-03-10

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Craft Commerce anteriores a 4.10.2 Versões do Craft Commerce anteriores a 5.5.3

Descrição O Craft Commerce, uma plataforma de comércio eletrônico para o Craft CMS, contém uma vulnerabilidade de Cross-Site Scripting Armazenado (XSS) na seção de detalhes do pedido. Um atacante pode injetar código JavaScript malicioso por meio do Nome do Método de Envio, Referência do Pedido ou Nome do Site. Quando um usuário abre o painel de detalhes do pedido ao clicar duas vezes na página de índice de pedidos, o código injetado será executado.

Recomendações Atualize para a versão 4.10.2 ou posterior do Craft Commerce. Atualize para a versão 5.5.3 ou posterior do Craft Commerce.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-29177

GHSA-MJ32-R678-7MVP

Produtos afetados

Craft Commerce

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/29xxx/CVE-2026-29177.json · Exploit
• https://github.com/craftcms/commerce/security/advisories/GHSA-mj32-r678-7mvp · Aviso do Fabricante
• https://github.com/craftcms/commerce/commit/b0683e04773f16bba6af9df18aab495fc5dde68a · Correção
• https://github.com/craftcms/commerce · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-29177 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-29177 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2031504133673439475 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-mj32-r678-7mvp · Aviso do Fabricante