CVE-2026-45053
KrytyczneStreszczenie
CubeCart przed wersją 6.7.0 zawierał podatność na uwierzytelnione przesyłanie dowolnych plików w punkcie końcowym REST API File Manager. Umożliwia to osobom posiadającym klucz API z uprawnieniami files:rw przesyłanie plików PHP do katalogu images/source/, gdzie są one wykonywane przez serwer WWW.
Ocena ryzyka
Podatność ta może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji. Atakujący może uzyskać pełną kontrolę nad serwerem, co może skutkować utratą danych lub naruszeniem prywatności.
Rekomendacja
Zaleca się aktualizację CubeCart do wersji 6.7.0 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy ograniczyć dostęp do API tylko do zaufanych użytkowników oraz monitorować logi serwera w celu wykrycia nieautoryzowanych działań.
Inne podatności w CubeCart
Zobacz wszystkie- CVE-2026-45708Wysokie
CubeCart to rozwiązanie oprogramowania e-commerce, które przed wersją 6.7.3 pozwalało administratorom z uprawnieniami do edytowania dokumentów na zapisanie surowego kodu PHP w Edytorze Faktur. Po kliknięciu przez dowolnego administratora opcji Drukuj, szablon jest zapisywany w pliku, który może być wykonany przez nieautoryzowanych użytkowników.
- CVE-2026-45055Wysokie
CubeCart przed wersją 6.7.2 ma lukę, która pozwala atakującemu na przejęcie konta użytkownika poprzez manipulację linkami w e-mailach. Atakujący może wykorzystać nagłówek Host, aby wysłać złośliwy link do ofiary, co prowadzi do przejęcia konta.
- CVE-2026-39358Wysokie
W CubeCart przed wersją 6.6.0 zidentyfikowano podatności na uwierzytelnioną, czasową, ślepą injekcję SQL w parametrach sortowania (sort[price], sort_activity, sort_admin, sort_customer) w punktach końcowych produktów i logów. Umożliwia to atakującemu wykonanie dowolnych poleceń SQL, co zagraża poufności i integralności bazy danych.
- CVE-2026-45714Krytyczne
W CubeCart przed wersją 6.7.0 występuje podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) w wielu modułach, takich jak szablony e-mail, faktury, dokumenty i formularze kontaktowe. Aplikacja niebezpiecznie ocenia dane wejściowe dostarczone przez użytkowników, co pozwala na wykonanie dowolnych poleceń systemowych przez uwierzytelnionych użytkowników z uprawnieniami administracyjnymi.
- CVE-2026-44377Krytyczne
W CubeCart przed wersją 6.7.0 występuje podatność na wstrzyknięcie szablonów po stronie serwera (SSTI) w wielu modułach, w tym w szablonach e-mail i dokumentach. Aplikacja niebezpiecznie ocenia dane wejściowe dostarczone przez użytkownika za pomocą silnika szablonów Smarty.
- CVE-2026-54648Średnie
W CubeCart przed wersją 6.7.5 narzędzia GDPR w admin/sources/customers.gdpr.inc.php polegają wyłącznie na uprawnieniu CC_PERM_READ i nie wymagają CC_PERM_DELETE dla poleceń purge, no_order_purge i delete_guests. Uwierzytelniony administrator z uprawnieniami tylko do odczytu może bezpośrednio wywołać te akcje, omijając ograniczenia interfejsu i nieodwracalnie usuwając rekordy klientów, konta bez zamówień lub konta gości.
- CVE-2026-54647Wysokie
CubeCart, oprogramowanie e-commerce, przed wersją 6.7.5 w admin/sources/settings.index.inc.php bezpośrednio konkatenuje kontrolowany przez administratora parametr POST download_expire do surowego zapytania UPDATE dla CubeCart_downloads bez walidacji numerycznej. Uwierzytelniony administrator może dostarczyć wartość rozdzielaną przecinkami, która zmienia klauzulę SET, ponieważ sanityzacja HTML nie neutralizuje składni SQL, co pozwala na manipulację kolumnami bazy danych i potencjalnie innymi danymi w ramach uprawnień bazy danych aplikacji. Problem został naprawiony w wersji 6.7.5.
- CVE-2026-54646Wysokie
CubeCart, oprogramowanie e-commerce, przed wersją 6.7.5 w admin/sources/maintenance.index.inc.php umieszcza kontrolowane przez administratora wartości tablename w instrukcjach ALTER TABLE, CHECK TABLE i ANALYZE TABLE bez walidacji identyfikatorów lub escapowania osadzonych backticków. Uwierzytelniony administrator może zakończyć cytowany identyfikator zamykającym backtickiem i wprowadzić kontrolowany przez atakującego strukturalny SQL, potencjalnie naruszając poufność, integralność i dostępność bazy danych w ramach uprawnień bazy danych aplikacji. Problem został naprawiony w wersji 6.7.5.
- CVE-2026-54645Średnie
W CubeCart przed wersją 6.7.5 plik admin/sources/products.index.inc.php odczytuje pola tekstowe description, description_short i spec_copy z $GLOBALS['RAW']['POST'] i usuwa tylko elementy script przed zapisaniem i renderowaniem przez szablony Smarty. Administrator z uprawnieniami do edycji produktów może przechowywać atrybuty obsługi zdarzeń, treści SVG lub URI javascript:, które omijają filtr, powodując trwałe wykonanie JavaScript podczas przeglądania treści produktu przez odwiedzającego sklep lub innego administratora.
- CVE-2026-54644Średnie
W CubeCart przed wersją 6.7.5 metoda _errorMessage w classes/gui.class.php używa strip_tags, aby zezwolić na elementy kotwicy w komunikatach błędów, informacyjnych i ostrzegawczych, zachowując niebezpieczne wartości href i procedury obsługi zdarzeń onclick. Dane wyszukiwania lub dane wejściowe kontrolowane przez atakującego, które trafiają do komunikatu GUI, mogą przenosić URI javascript: lub procedurę obsługi zdarzeń przez filtr, a wyświetlenie lub interakcja z wyrenderowaną kotwicą wykonuje JavaScript w sesji przeglądarki ofiary.
Oryginalny opis (angielski, źródło NVD)
CubeCart is an ecommerce software solution. Prior to 6.7.0, an Authenticated Arbitrary File Upload vulnerability exists in the REST API File Manager endpoint (POST /api/v1/files) of CubeCart. The endpoint allows any holder of an API key with files:rw permission to upload PHP source files into the web-accessible images/source/ directory, where they are executed by the web server. Combined with a path-traversal flaw in the same endpoint's filepath parameter, a single API request writes a webshell anywhere the webserver process can write — including the document root — yielding full Remote Code Execution. This vulnerability is fixed in 6.7.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS