CVE-2026-3320
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W najnowszej wersji demonstracyjnej platformy Cradle eCommerce występuje podatność na odbite XSS w punkcie końcowym /product/. Dane kontrolowane przez użytkownika są niebezpiecznie odzwierciedlane w wyjściu HTML, co pozwala atakującemu na wykonanie dowolnego kodu JavaScript.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, przechwytując sesję lub dane uwierzytelniające. Może to prowadzić do przejęcia konta i kradzieży danych.
Rekomendacja
Wdróż prawidłowe kodowanie wyjścia i walidację danych wejściowych w punkcie końcowym /product/. Zaktualizuj platformę do wersji, w której podatność została naprawiona.
Inne podatności w Cradle eCommerce
Zobacz wszystkie- CVE-2026-3319Średnie
W najnowszej wersji demonstracyjnej platformy Cradle eCommerce występuje podatność na odbite XSS w punkcie końcowym /collection/. Dane kontrolowane przez użytkownika są niebezpiecznie odzwierciedlane w wyjściu HTML, co pozwala atakującemu na wykonanie dowolnego kodu JavaScript.
- CVE-2026-3318Średnie
W najnowszej wersji demonstracyjnej platformy Cradle eCommerce występuje podatność na otwarte przekierowanie w punkcie końcowym formularza logowania. Parametr 'returnUrl' pozwala na przekierowanie, ponieważ aplikacja przyjmuje URL jako parametr bez odpowiedniej walidacji, co umożliwia przekierowanie użytkowników z legalnej strony na zewnętrzne strony.
Oryginalny opis (angielski, źródło NVD)
Reflected Cross-Site Scripting (XSS) in the latest demo version of the Cradle eCommerce platform. User-controlled input is insecurely reflected in the HTML output in the endpoint /product/. Exploitation of this vulnerability would allow an attacker to execute arbitrary JavaScript code.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS