CVE-2026-21451
WysokieStreszczenie
Bagisto to platforma e-commerce oparta na Laravelu. Przed wersją 2.3.10 występuje podatność na trwały atak XSS w edytorze stron CMS. Mimo prób filtrowania tagów `<script>`, można je obejść manipulując surowym żądaniem HTTP, co pozwala na zapisanie dowolnego kodu JavaScript w treści CMS i jego wykonanie podczas przeglądania lub edycji strony.
Ocena ryzyka
Atakujący może przejąć konto administratora, przejąć kontrolę nad panelem administracyjnym i wykonywać złośliwe skrypty, co stanowi poważne zagrożenie dla bezpieczeństwa całej platformy.
Rekomendacja
Zaleca się natychmiastową aktualizację Bagisto do wersji 2.3.10 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w Bagisto
Zobacz wszystkie- CVE-2026-21449Wysokie
Bagisto to platforma e-commerce oparta na Laravelu. Wersje przed 2.3.10 są podatne na wstrzykiwanie szablonów po stronie serwera (SSTI) poprzez pole imienia i nazwiska użytkownika o niskich uprawnieniach. Wersja 2.3.10 zawiera poprawkę.
- CVE-2026-21447Wysokie
Bagisto to platforma e-commerce oparta na Laravelu. Przed wersją 2.3.10 występuje podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcji ponawiania zamówień klienta. Uwierzytelniony klient może dodać produkty z zamówienia innego klienta do własnego koszyka, manipulując parametrem ID zamówienia.
- CVE-2026-21450Krytyczne
Bagisto to platforma eCommerce oparta na Laravel. Wersje przed 2.3.10 są podatne na wstrzyknięcie szablonów po stronie serwera przez parametr type, co może prowadzić do zdalnego wykonania kodu lub innego wykorzystania. Wersja 2.3.10 naprawia problem.
- CVE-2026-21448Krytyczne
Bagisto to platforma eCommerce oparta na Laravel. Wersje przed 2.3.10 są podatne na wstrzyknięcie szablonów po stronie serwera. Gdy zwykły klient zamawia produkt, w kroku "dodaj adres" może wstrzyknąć wartość, która zostanie wykonana w widoku administratora. Problem może prowadzić do zdalnego wykonania kodu. Wersja 2.3.10 zawiera poprawkę.
- CVE-2026-21446Krytyczne
Bagisto to platforma eCommerce oparta na Laravel. W wersjach z gałęzi 2.3 przed 2.3.10, trasy API pozostają aktywne nawet po zakończeniu instalacji. Podstawowe punkty końcowe API (`/install/api/*`) są bezpośrednio dostępne i możliwe do wykorzystania bez uwierzytelniania. Atakujący może całkowicie ominąć instalator, wywołując punkty API bezpośrednio. Pozwala to każdemu nieuwierzytelnionemu atakującemu na tworzenie kont administratora, modyfikację konfiguracji aplikacji i potencjalne nadpisanie istniejących danych. Wersja 2.3.10 naprawia problem.
- CVE-2026-75082Średnie
W Webkul Bagisto do wersji 2.4.4 wykryto podatność podstawowego cross-site scripting (XSS) w pliku /customer/register, w komponencie powiadomień e-mail o rejestracji klienta. Manipulacja argumentami first_name/last_name umożliwia zdalne przeprowadzenie ataku. Exploit został opublikowany i może być wykorzystany. Producent potwierdza, że problemy zostały już zidentyfikowane wewnętrznie i są w trakcie rozwiązywania.
- CVE-2026-75081Średnie
W Webkul Bagisto do wersji 2.4.4 wykryto podatność polegającą na narzuceniu przepływu pracy (behavioral workflow) w pliku /customer/account/rma/store. Manipulacja argumentami rma_qty/resolution_type/rma_reason_id umożliwia zdalne przeprowadzenie ataku. Exploit jest publiczny i może być wykorzystany. Producent potwierdza, że problemy zostały już zidentyfikowane wewnętrznie i są w trakcie rozwiązywania.
- CVE-2026-60120Średnie
Podatność w Bagisto przed wersją 2.4.4 umożliwia atakującym bez uwierzytelnienia wykonanie dowolnego kodu JavaScript w przeglądarce administratora poprzez wstrzyknięcie złośliwego ładunku w pole imienia lub nazwiska podczas rejestracji konta klienta. Szablon create.blade.php renderuje te pola bez dyrektywy v-pre, co powoduje, że Vue.js interpretuje przechowywane wyrażenia jako aktywny kod.
- CVE-2026-9506Wysokie
Podatność w Bagisto wynika z nieprawidłowej walidacji danych wejściowych w komponencie ImageCacheController. Niezalogowany atakujący zdalnie może wykorzystać tę lukę, wysyłając spreparowane sekwencje path traversal przez parametr filename, aby uzyskać dostęp do dowolnych plików poza zamierzonym katalogiem.
- CVE-2023-33570Wysokie
Bagisto w wersji 1.5.1 jest podatny na atak typu Server-Side Template Injection (SSTI). Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu w szablonach serwera.
Oryginalny opis (angielski, źródło NVD)
Bagisto is an open source laravel eCommerce platform. A stored Cross-Site Scripting (XSS) vulnerability exists in Bagisto prior to version 2.3.10 within the CMS page editor. Although the platform normally attempts to sanitize `<script>` tags, the filtering can be bypassed by manipulating the raw HTTP POST request before submission. As a result, arbitrary JavaScript can be stored in the CMS content and executed whenever the page is viewed or edited. This exposes administrators to a high-severity risk, including complete account takeover, backend hijacking, and malicious script execution. Version 2.3.10 fixes the issue.