CVE-2026-21449

Bagisto to platforma e-commerce oparta na Laravelu. Przed wersją 2.3.10 występuje podatność na trwały atak XSS w edytorze stron CMS. Mimo prób filtrowania tagów `<script>`, można je obejść manipulując surowym żądaniem HTTP, co pozwala na zapisanie dowolnego kodu JavaScript w treści CMS i jego wykonanie podczas przeglądania lub edycji strony.

Bagisto to platforma e-commerce oparta na Laravelu. Przed wersją 2.3.10 występuje podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcji ponawiania zamówień klienta. Uwierzytelniony klient może dodać produkty z zamówienia innego klienta do własnego koszyka, manipulując parametrem ID zamówienia.

Bagisto to platforma eCommerce oparta na Laravel. Wersje przed 2.3.10 są podatne na wstrzyknięcie szablonów po stronie serwera przez parametr type, co może prowadzić do zdalnego wykonania kodu lub innego wykorzystania. Wersja 2.3.10 naprawia problem.

Bagisto to platforma eCommerce oparta na Laravel. Wersje przed 2.3.10 są podatne na wstrzyknięcie szablonów po stronie serwera. Gdy zwykły klient zamawia produkt, w kroku "dodaj adres" może wstrzyknąć wartość, która zostanie wykonana w widoku administratora. Problem może prowadzić do zdalnego wykonania kodu. Wersja 2.3.10 zawiera poprawkę.

Bagisto to platforma eCommerce oparta na Laravel. W wersjach z gałęzi 2.3 przed 2.3.10, trasy API pozostają aktywne nawet po zakończeniu instalacji. Podstawowe punkty końcowe API (`/install/api/*`) są bezpośrednio dostępne i możliwe do wykorzystania bez uwierzytelniania. Atakujący może całkowicie ominąć instalator, wywołując punkty API bezpośrednio. Pozwala to każdemu nieuwierzytelnionemu atakującemu na tworzenie kont administratora, modyfikację konfiguracji aplikacji i potencjalne nadpisanie istniejących danych. Wersja 2.3.10 naprawia problem.

W Webkul Bagisto do wersji 2.4.4 wykryto podatność podstawowego cross-site scripting (XSS) w pliku /customer/register, w komponencie powiadomień e-mail o rejestracji klienta. Manipulacja argumentami first_name/last_name umożliwia zdalne przeprowadzenie ataku. Exploit został opublikowany i może być wykorzystany. Producent potwierdza, że problemy zostały już zidentyfikowane wewnętrznie i są w trakcie rozwiązywania.

W Webkul Bagisto do wersji 2.4.4 wykryto podatność polegającą na narzuceniu przepływu pracy (behavioral workflow) w pliku /customer/account/rma/store. Manipulacja argumentami rma_qty/resolution_type/rma_reason_id umożliwia zdalne przeprowadzenie ataku. Exploit jest publiczny i może być wykorzystany. Producent potwierdza, że problemy zostały już zidentyfikowane wewnętrznie i są w trakcie rozwiązywania.

Podatność w Bagisto przed wersją 2.4.4 umożliwia atakującym bez uwierzytelnienia wykonanie dowolnego kodu JavaScript w przeglądarce administratora poprzez wstrzyknięcie złośliwego ładunku w pole imienia lub nazwiska podczas rejestracji konta klienta. Szablon create.blade.php renderuje te pola bez dyrektywy v-pre, co powoduje, że Vue.js interpretuje przechowywane wyrażenia jako aktywny kod.

Podatność w Bagisto wynika z nieprawidłowej walidacji danych wejściowych w komponencie ImageCacheController. Niezalogowany atakujący zdalnie może wykorzystać tę lukę, wysyłając spreparowane sekwencje path traversal przez parametr filename, aby uzyskać dostęp do dowolnych plików poza zamierzonym katalogiem.

Bagisto w wersji 1.5.1 jest podatny na atak typu Server-Side Template Injection (SSTI). Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu w szablonach serwera.