CVE-2021-42193
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W nopCommerce 4.40.3 odkryto podatność na atak XSS w polu nazwy produktu na stronie /Admin/Product/Edit/[id]. Za każdym razem, gdy użytkownik przegląda produkt w sklepie, ładunek XSS jest wykonywany.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce każdego użytkownika odwiedzającego stronę produktu, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację nopCommerce do najnowszej wersji oraz zastosowanie odpowiedniego filtrowania i kodowania danych wejściowych w polu nazwy produktu.
Inne podatności w nopCommerce
Zobacz wszystkie- CVE-2025-65593Wysokie
nopCommerce 4.90.0 jest podatny na Cross-Site Request Forgery (CSRF) poprzez funkcję Schedule Tasks.
- CVE-2025-65592Średnie
nopCommerce 4.90.0 jest podatny na Cross Site Scripting (XSS) w funkcjonalności zarządzania produktami. Złośliwe ładunki wstawione w pola "Product Name" i "Short Description" są przechowywane w bazie danych i wykonywane automatycznie, gdy użytkownik wyświetli dotknięte strony.
- CVE-2025-65591Średnie
nopCommerce w wersji 4.90.0 jest podatny na atak typu Cross-Site Scripting (XSS) w funkcji zarządzania walutami (Currencies).
- CVE-2025-65590Średnie
nopCommerce w wersji 4.90.0 jest podatny na atak typu Cross-Site Scripting (XSS) w funkcji wpisów na blogu w obszarze zarządzania treścią.
- CVE-2025-65589Średnie
nopCommerce 4.90.0 jest podatny na Cross Site Scripting (XSS) poprzez funkcjonalność Attributes.
- CVE-2022-33077Wysokie
W nopcommerce w wersji 4.50.2 wykryto problem z kontrolą dostępu, który umożliwia atakującym dowolną modyfikację adresu dowolnego klienta za pomocą endpointu addressedit.
- CVE-2022-27461Średnie
W nopCommerce 4.50.1 wykryto podatność na otwarte przekierowanie (open redirect). Atakujący może nakłonić użytkownika do kliknięcia spreparowanego linku, co prowadzi do uwierzytelnienia na stronie nopCommerce i przekierowania na zewnętrzną, złośliwą witrynę.
Oryginalny opis (angielski, źródło NVD)
nopCommerce 4.40.3 is vulnerable to XSS in the Product Name at /Admin/Product/Edit/[id]. Each time a user views the product in the shop, the XSS payload fires.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS