CVE-2026-63105
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
ReadyEcommerce przed wersją 4.5.2 zawiera podatność na trwały cross-site scripting (XSS), która pozwala uwierzytelnionym klientom na wstrzykiwanie złośliwych ładunków HTML przez systemy czatu i wiadomości biletów wsparcia, wykorzystując nieoczyszczone renderowanie przez dyrektywę v-html w Messages.vue, RightChatSidebar.vue, SupportTicketMessages.vue i SupportTicketDetails.vue. Atakujący mogą wysyłać spreparowane treści wiadomości, które wykonują dowolny JavaScript w przeglądarce właściciela sklepu lub administratora, który przegląda wiadomość, umożliwiając kradzież ciasteczek sesji i przejęcie konta.
Ocena ryzyka
Ryzyko przejęcia kont administratorów sklepu, co może prowadzić do pełnej kompromitacji platformy e-commerce i danych klientów.
Rekomendacja
Zaleca się aktualizację do wersji 4.5.2 lub nowszej, która zawiera poprawkę eliminującą podatność XSS.
Oryginalny opis (angielski, źródło NVD)
ReadyEcommerce before 4.5.2 contains a stored cross-site scripting (XSS) vulnerability that allows authenticated customers to inject malicious HTML payloads through the chat and support ticket messaging systems by exploiting unsanitized rendering via the v-html directive in Messages.vue, RightChatSidebar.vue, SupportTicketMessages.vue, and SupportTicketDetails.vue. Attackers can submit crafted message content that executes arbitrary JavaScript in the browser of any shop owner or administrator who views the message, enabling session cookie theft and account takeover.