CVE-2026-104479
Beschrijving NL
Shopclass vóór 6.2.0 bevat een opgeslagen kwetsbaarheid voor cross-site scripting waarmee zelfgeregistreerde niet-beheerdergebruikers scripts kunnen injecteren in beschrijvingen van itemvermeldingen wanneer frontend TinyMCE is ingeschakeld. Aanvallers kunnen kwaadaardig JavaScript indienen, dat ItemActions.php opslaat zonder tagstrippen, waardoor het wordt uitgevoerd in de oorsprong van de site voor elke bezoeker die de vermelding bekijkt.
Origineel (Engels) tonen
Shopclass before 6.2.0 contains a stored cross-site scripting vulnerability that allows self-registered non-admin users to inject scripts into item listing descriptions when frontend TinyMCE is enabled. Attackers can submit malicious JavaScript, which ItemActions.php saves without tag stripping, causing it to execute in the site origin for any visitor viewing the listing.