CVE-2026-60120
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność w Bagisto przed wersją 2.4.4 umożliwia atakującym bez uwierzytelnienia wykonanie dowolnego kodu JavaScript w przeglądarce administratora poprzez wstrzyknięcie złośliwego ładunku w pole imienia lub nazwiska podczas rejestracji konta klienta. Szablon create.blade.php renderuje te pola bez dyrektywy v-pre, co powoduje, że Vue.js interpretuje przechowywane wyrażenia jako aktywny kod.
Ocena ryzyka
Atakujący może przejąć sesję administratora, wykraść dane wrażliwe lub dokonać nieautoryzowanych działań w panelu administracyjnym, co stanowi poważne zagrożenie dla bezpieczeństwa całej platformy e-commerce.
Rekomendacja
Należy niezwłocznie zaktualizować Bagisto do wersji 2.4.4 lub nowszej, która zawiera poprawkę usuwającą podatność. Dodatkowo warto przejrzeć i zabezpieczyć wszystkie szablony Vue.js przed wstrzyknięciem kodu.
Inne podatności w Bagisto
Zobacz wszystkie- CVE-2026-21451Wysokie
Bagisto to platforma e-commerce oparta na Laravelu. Przed wersją 2.3.10 występuje podatność na trwały atak XSS w edytorze stron CMS. Mimo prób filtrowania tagów `<script>`, można je obejść manipulując surowym żądaniem HTTP, co pozwala na zapisanie dowolnego kodu JavaScript w treści CMS i jego wykonanie podczas przeglądania lub edycji strony.
- CVE-2026-21449Wysokie
Bagisto to platforma e-commerce oparta na Laravelu. Wersje przed 2.3.10 są podatne na wstrzykiwanie szablonów po stronie serwera (SSTI) poprzez pole imienia i nazwiska użytkownika o niskich uprawnieniach. Wersja 2.3.10 zawiera poprawkę.
- CVE-2026-21447Wysokie
Bagisto to platforma e-commerce oparta na Laravelu. Przed wersją 2.3.10 występuje podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcji ponawiania zamówień klienta. Uwierzytelniony klient może dodać produkty z zamówienia innego klienta do własnego koszyka, manipulując parametrem ID zamówienia.
- CVE-2026-21450Krytyczne
Bagisto to platforma eCommerce oparta na Laravel. Wersje przed 2.3.10 są podatne na wstrzyknięcie szablonów po stronie serwera przez parametr type, co może prowadzić do zdalnego wykonania kodu lub innego wykorzystania. Wersja 2.3.10 naprawia problem.
- CVE-2026-21448Krytyczne
Bagisto to platforma eCommerce oparta na Laravel. Wersje przed 2.3.10 są podatne na wstrzyknięcie szablonów po stronie serwera. Gdy zwykły klient zamawia produkt, w kroku "dodaj adres" może wstrzyknąć wartość, która zostanie wykonana w widoku administratora. Problem może prowadzić do zdalnego wykonania kodu. Wersja 2.3.10 zawiera poprawkę.
- CVE-2026-21446Krytyczne
Bagisto to platforma eCommerce oparta na Laravel. W wersjach z gałęzi 2.3 przed 2.3.10, trasy API pozostają aktywne nawet po zakończeniu instalacji. Podstawowe punkty końcowe API (`/install/api/*`) są bezpośrednio dostępne i możliwe do wykorzystania bez uwierzytelniania. Atakujący może całkowicie ominąć instalator, wywołując punkty API bezpośrednio. Pozwala to każdemu nieuwierzytelnionemu atakującemu na tworzenie kont administratora, modyfikację konfiguracji aplikacji i potencjalne nadpisanie istniejących danych. Wersja 2.3.10 naprawia problem.
- CVE-2026-75082Średnie
W Webkul Bagisto do wersji 2.4.4 wykryto podatność podstawowego cross-site scripting (XSS) w pliku /customer/register, w komponencie powiadomień e-mail o rejestracji klienta. Manipulacja argumentami first_name/last_name umożliwia zdalne przeprowadzenie ataku. Exploit został opublikowany i może być wykorzystany. Producent potwierdza, że problemy zostały już zidentyfikowane wewnętrznie i są w trakcie rozwiązywania.
- CVE-2026-75081Średnie
W Webkul Bagisto do wersji 2.4.4 wykryto podatność polegającą na narzuceniu przepływu pracy (behavioral workflow) w pliku /customer/account/rma/store. Manipulacja argumentami rma_qty/resolution_type/rma_reason_id umożliwia zdalne przeprowadzenie ataku. Exploit jest publiczny i może być wykorzystany. Producent potwierdza, że problemy zostały już zidentyfikowane wewnętrznie i są w trakcie rozwiązywania.
- CVE-2026-9506Wysokie
Podatność w Bagisto wynika z nieprawidłowej walidacji danych wejściowych w komponencie ImageCacheController. Niezalogowany atakujący zdalnie może wykorzystać tę lukę, wysyłając spreparowane sekwencje path traversal przez parametr filename, aby uzyskać dostęp do dowolnych plików poza zamierzonym katalogiem.
- CVE-2023-33570Wysokie
Bagisto w wersji 1.5.1 jest podatny na atak typu Server-Side Template Injection (SSTI). Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu w szablonach serwera.
Oryginalny opis (angielski, źródło NVD)
Bagisto before 2.4.4 contains a stored cross-site scripting vulnerability via client-side template injection that allows unauthenticated attackers to execute arbitrary JavaScript in administrator browsers by registering a customer account with malicious payload in the first or last name field. The create.blade.php template renders customer name fields without the Vue.js v-pre directive, causing Vue.js to evaluate stored template expressions as live JavaScript when an administrator opens the Create Order page for the affected customer.