PT-2026-5745 · Pixel & Tonic · Craft Commerce

Mhe4Am · CVE-2026-25484 · Publicado 2026-02-02 · Atualizado 2026-02-03

Positive Technologies (AI Summary) · Pt

CVSS v4.0

4.8

Média

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas Craft Commerce versões 4.0.0-RC1 até 4.10.0 Craft Commerce versões 5.0.0 até 5.5.1

Descrição Um problema de Cross-Site Scripting Armazenado (XSS) existe no Craft Commerce nos nomes de Tipo de Produto. O nome do tipo de produto não é corretamente sanitizado ao ser exibido nas configurações de permissões de usuário. A entrada vulnerável está localizada no Commerce (Configurações de Tipo de Produto), enquanto a exibição vulnerável ocorre nas configurações de permissões de usuário do CMS. O endpoint da API para criar um novo Tipo de Produto é /admin/commerce/settings/producttypes. O parâmetro vulnerável é Name. A exibição vulnerável ocorre ao acessar as permissões do usuário em /admin/users/{UserID}/permissions.

Recomendações Atualize para a versão 4.10.1 ou posterior do Craft Commerce. Atualize para a versão 5.5.2 ou posterior do Craft Commerce.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-25484

GHSA-2H2M-V2MG-656C

Produtos afetados

Craft Commerce

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/25xxx/CVE-2026-25484.json · Exploit
• https://github.com/craftcms/commerce/security/advisories/GHSA-2h2m-v2mg-656c · Aviso do Fabricante
• https://github.com/craftcms/commerce/commit/7e1dedf06038c8e70dce0187b7048d4ab8ffb75c · Correção
• https://github.com/craftcms/commerce/releases/tag/4.10.1 · Nota
• https://github.com/craftcms/commerce/releases/tag/5.5.2 · Nota
• https://github.com/craftcms/commerce · Nota
• https://osv.dev/vulnerability/GHSA-2h2m-v2mg-656c · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-25484 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-25484 · Nota de Segurança