CVE-2026-14633
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W bibliotece Ecommerce-CodeIgniter-Bootstrap do wersji 49b20f53 stwierdzono podatność na atak XSS w ukrytym punkcie końcowym REST API. Manipulacja argumentami title/description w pliku /index.php/api/product/set umożliwia zdalne wykonanie skryptów krzyżowych.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co prowadzi do kradzieży sesji, przekierowań lub defacementu strony. Ryzyko jest wysokie, ponieważ exploit jest publicznie dostępny.
Rekomendacja
Należy niezwłocznie zastosować łatkę o identyfikatorze d9785f995da77bdc62fb2d34bad5f7a162c9ad23. Ze względu na model ciągłego wdrażania, zaleca się aktualizację do najnowszej wersji repozytorium.
Inne podatności w Ecommerce-CodeIgniter-Bootstrap
Zobacz wszystkie- CVE-2024-31823Krytyczne
Podatność w Ecommerce-CodeIgniter-Bootstrap pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez metodę removeSecondaryImage w komponencie Publish.php.
- CVE-2026-14637Wysokie
W bibliotece Ecommerce-CodeIgniter-Bootstrap wykryto podatność polegającą na deserializacji w funkcji getCartItems pliku ShoppingCart.php. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem shopping_cart. Exploit został opublikowany, co zwiększa ryzyko wykorzystania.
- CVE-2026-14636Średnie
W komponencie Vendor Image Manager w Ecommerce-CodeIgniter-Bootstrap wykryto podatność na path traversal. Funkcja do_upload_others_images w pliku AddProduct.php pozwala na manipulację argumentem folder, co umożliwia zdalne odczytywanie plików poza dozwolonym katalogiem.
- CVE-2026-14635Wysokie
W Ecommerce-CodeIgniter-Bootstrap do wersji 222ff31c06687b1c6d0e1ab63953f82c3674c52b wykryto podatność na manipulację ścieżką (path traversal) w pliku AddProduct.php komponentu Vendor Multi-Image Endpoint. Atakujący może zdalnie zmienić argument folder, co prowadzi do nieautoryzowanego dostępu do plików. Exploit został opublikowany i może być wykorzystywany w atakach.
- CVE-2026-14634Średnie
W kirilkirkov Ecommerce-CodeIgniter-Bootstrap do wersji 213babdbaa949e94557246414db0130e01394517 stwierdzono podatność na atak XSS w funkcji checkForPostRequests pliku application/core/MY_Controller.php. Manipulacja argumentem User-Agent umożliwia zdalne wykonanie skryptu.
- CVE-2026-14632Średnie
W bibliotece Ecommerce-CodeIgniter-Bootstrap do wersji 95dfa8cebbb87ab46ae450643a07241274a74dce wykryto podatność w funkcji setReferrer pliku application/core/MY_Controller.php. Manipulacja argumentem href prowadzi do otwartego przekierowania (open redirect), które może być zdalnie wykorzystane.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in kirilkirkov Ecommerce-CodeIgniter-Bootstrap up to 49b20f53de2b7ec34e920b11c863f1491d911a04. This affects an unknown part of the file /index.php/api/product/set of the component Hidden REST API Endpoint. This manipulation of the argument title/description causes cross site scripting. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized. This product adopts a rolling release strategy to maintain continuous delivery. Therefore, version details for affected or updated releases cannot be specified. Patch name: d9785f995da77bdc62fb2d34bad5f7a162c9ad23. To fix this issue, it is recommended to deploy a patch.