CVE-2026-75082
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W Webkul Bagisto do wersji 2.4.4 wykryto podatność podstawowego cross-site scripting (XSS) w pliku /customer/register, w komponencie powiadomień e-mail o rejestracji klienta. Manipulacja argumentami first_name/last_name umożliwia zdalne przeprowadzenie ataku. Exploit został opublikowany i może być wykorzystany. Producent potwierdza, że problemy zostały już zidentyfikowane wewnętrznie i są w trakcie rozwiązywania.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt do pól imienia i nazwiska, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego kodu wśród użytkowników. Publiczny exploit zwiększa ryzyko ataku.
Rekomendacja
Należy zaktualizować Bagisto do najnowszej wersji, gdy tylko będzie dostępna, oraz zastosować filtrowanie i kodowanie danych wejściowych w polach first_name/last_name. Tymczasowo można też ograniczyć dostęp do rejestracji.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Webkul Bagisto up to 2.4.4. The affected element is an unknown function of the file /customer/register of the component Customer-Registration Notification Email. This manipulation of the argument first_name/last_name causes basic cross site scripting. It is possible to initiate the attack remotely. The exploit has been published and may be used. The vendor confirms: "The reported issues were already identified through our internal security assessment process prior to this notification and are being handled through our established internal security and development lifecycle. Some of these items have already been addressed, while the remaining items are planned for resolution in upcoming product releases."