CVE-2026-45055
WysokieStreszczenie
CubeCart przed wersją 6.7.2 ma lukę, która pozwala atakującemu na przejęcie konta użytkownika poprzez manipulację linkami w e-mailach. Atakujący może wykorzystać nagłówek Host, aby wysłać złośliwy link do ofiary, co prowadzi do przejęcia konta.
Ocena ryzyka
Organizacje korzystające z CubeCart w wersjach 6.6.x – 6.7.1 są narażone na ataki, które mogą prowadzić do pełnego przejęcia kont użytkowników oraz administracji. To stwarza poważne zagrożenie dla bezpieczeństwa danych klientów.
Rekomendacja
Zaleca się aktualizację CubeCart do wersji 6.7.2 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wdrożyć dodatkowe środki zabezpieczające, takie jak monitorowanie nieautoryzowanych prób dostępu.
Inne podatności w CubeCart
Zobacz wszystkie- CVE-2026-45708Wysokie
CubeCart to rozwiązanie oprogramowania e-commerce, które przed wersją 6.7.3 pozwalało administratorom z uprawnieniami do edytowania dokumentów na zapisanie surowego kodu PHP w Edytorze Faktur. Po kliknięciu przez dowolnego administratora opcji Drukuj, szablon jest zapisywany w pliku, który może być wykonany przez nieautoryzowanych użytkowników.
- CVE-2026-39358Wysokie
W CubeCart przed wersją 6.6.0 zidentyfikowano podatności na uwierzytelnioną, czasową, ślepą injekcję SQL w parametrach sortowania (sort[price], sort_activity, sort_admin, sort_customer) w punktach końcowych produktów i logów. Umożliwia to atakującemu wykonanie dowolnych poleceń SQL, co zagraża poufności i integralności bazy danych.
- CVE-2026-45714Krytyczne
W CubeCart przed wersją 6.7.0 występuje podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) w wielu modułach, takich jak szablony e-mail, faktury, dokumenty i formularze kontaktowe. Aplikacja niebezpiecznie ocenia dane wejściowe dostarczone przez użytkowników, co pozwala na wykonanie dowolnych poleceń systemowych przez uwierzytelnionych użytkowników z uprawnieniami administracyjnymi.
- CVE-2026-45053Krytyczne
CubeCart przed wersją 6.7.0 zawierał podatność na uwierzytelnione przesyłanie dowolnych plików w punkcie końcowym REST API File Manager. Umożliwia to osobom posiadającym klucz API z uprawnieniami files:rw przesyłanie plików PHP do katalogu images/source/, gdzie są one wykonywane przez serwer WWW.
- CVE-2026-44377Krytyczne
W CubeCart przed wersją 6.7.0 występuje podatność na wstrzyknięcie szablonów po stronie serwera (SSTI) w wielu modułach, w tym w szablonach e-mail i dokumentach. Aplikacja niebezpiecznie ocenia dane wejściowe dostarczone przez użytkownika za pomocą silnika szablonów Smarty.
Oryginalny opis (angielski, źródło NVD)
CubeCart is an ecommerce software solution. Prior to 6.7.2, CubeCart 6.6.x – 6.7.1 builds CC_STORE_URL directly from the Host request header at bootstrap, with no allowlist. The constant is embedded verbatim into transactional email links, most critically the password-reset link in User::passwordRequest() (and the admin equivalent in Admin::passwordRequest()). An unauthenticated attacker who knows a target email can POST /index.php?_a=recover with Host: evil.com; CubeCart writes a fresh verify token (valid 3,600 s) and emails the victim a link http://evil.com/index.php?_a=recovery&validate=<TOKEN>. The token is valid against the legitimate store — capturing the victim's click on evil.com yields full account takeover, or store takeover when an admin email is targeted. This vulnerability is fixed in 6.7.2.