CVE-2026-103904
KrytyczneCVSS 9.3Streszczenie
Publiczny endpoint zgody w JTL-Shop przyjmuje dowolne nazwy zgód od nieuwierzytelnionych odwiedzających bez walidacji względem skonfigurowanych elementów zgody. Nazwy te są zapisywane w statystykach zgód i renderowane bez kodowania wyjściowego w backendzie administracyjnym, co pozwala na wstrzyknięcie kodu skryptowego wykonywanego w przeglądarce administratora.
Ocena ryzyka
Nieuwierzytelniony zdalny atakujący może wykonać dowolny kod JavaScript w sesji administratora, co umożliwia działania z jego uprawnieniami, w tym przejęcie konta.
Rekomendacja
Zaktualizuj JTL-Shop do wersji zawierającej poprawkę oraz wdroż kodowanie wyjściowe i walidację nazw zgód po stronie serwera.
Inne podatności w JTL-Shop
Zobacz wszystkie- CVE-2026-103905Wysokie
Podatność w JTL-Shop dotyczy middleware uwierzytelniania w panelu administracyjnym, który przetwarza przełącznik trybu bezpiecznego pluginów na ścieżce wylogowania przed sprawdzeniem uwierzytelnienia. Nieuwierzytelniony atakujący może przełączać tryb bezpieczny pluginów, dezaktywując wszystkie wtyczki i powodując denial of service w całym sklepie.
- CVE-2026-54390Krytyczne
Wersje JTL Shop od 5.2.0 do 5.7.1 zawierają podatność na wstrzykiwanie szablonów po stronie serwera, która pozwala nieautoryzowanym atakującym na wstrzykiwanie złośliwej składni szablonów z powodu niesanitowanych danych wejściowych użytkownika przekazywanych do silnika szablonów Smarty.
Oryginalny opis (angielski, źródło NVD)
The public consent endpoint of JTL-Shop accepts arbitrary consent names from unauthenticated visitors without validating them against the configured consent items. These names are stored in the consent statistics and rendered without output encoding in the administration backend. An unauthenticated remote attacker can thereby inject script code that is executed in the browser session of an administrator viewing the consent statistics page, allowing actions to be performed with the administrator's privileges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS