p PatchFirst

CVE-2026-25485

CVE-2026-25485 · Craft Commerce has Stored XSS in Shipping Categories (Name & Description) Fields Leading to Potential Privilege Escalation

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Craft Commerce is an ecommerce platform for Craft CMS. In versions from 4.0.0-RC1 to 4.10.0 and from 5.0.0 to 5.5.1, a stored XSS vulnerability in Craft Commerce allows attackers to execute malicious JavaScript in an administrator’s browser. This occurs because the Shipping Categories (Name & Description) fields in the Store Management section are not properly sanitized before being displayed in the admin panel. This issue has been patched in versions 4.10.1 and 5.5.2.

CVSS 6.2 · Mittel · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: php

Betroffene Produkte und Versionen

  • commerce

    Softwareversionen
    • >= 4.0.0-RC1, < 4.10.1: Betroffen
    • >= 5.0.0, < 5.5.2: Betroffen

    Keine Korrektur veröffentlicht

  • craftcms/composer Packagist

    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 5.0.0-RC1, < 5.5.2

    Auf 5.5.2 aktualisieren

  • craftcms/composer Packagist

    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 4.0.0-RC1, < 4.10.1

    Auf 4.10.1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →