CVE-2026-21448
KrytyczneStreszczenie
Bagisto to platforma eCommerce oparta na Laravel. Wersje przed 2.3.10 są podatne na wstrzyknięcie szablonów po stronie serwera. Gdy zwykły klient zamawia produkt, w kroku "dodaj adres" może wstrzyknąć wartość, która zostanie wykonana w widoku administratora. Problem może prowadzić do zdalnego wykonania kodu. Wersja 2.3.10 zawiera poprawkę.
Ocena ryzyka
Atakujący może wykonać kod w kontekście administratora, co może prowadzić do przejęcia panelu administracyjnego i danych.
Rekomendacja
Zaleca się aktualizację do wersji 2.3.10 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Bagisto is an open source laravel eCommerce platform. Versions prior to 2.3.10 are vulnerable to server-side template injection. When a normal customer orders any product, in the `add address` step they can inject a value to run in admin view. The issue can lead to remote code execution. Version 2.3.10 contains a patch.