8.6
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Concrete CMS Community Store before 2.7.8 renders customer-supplied order fields without HTML escaping in checkout and admin views. Unauthenticated attackers can store script payloads in billing name, email, or phone fields that execute in authenticated manager sessions to create rogue accounts or exfiltrate data.
Засегнати продукти
- concretecms-community-store community_store: преди 2.7.8; 2.7.8
Вид слабост
История
- 18 септември 2026 Публикувано
Други уязвимости в concretecms-community-store community_store
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-93659
- https://nvd.nist.gov/vuln/detail/CVE-2026-93659
- https://github.com/concretecms-community-store/community_store/commit/2a802d6a5717f4e351ef21fdf8bdaf8061c40109
- https://github.com/concretecms-community-store/community_store/blob/v2.7.7/elements/order_slip.php
- https://github.com/concretecms-community-store/community_store/releases/tag/v2.7.8
- https://github.com/concretecms-community-store/community_store
- https://www.vulncheck.com/advisories/concrete-cms-community-store-before-2.7.8-stored-xss