Anmelden
Deutsch English Español Polski
Hoch

Bagisto is vulnerable to XSS through Admin Panel's product creation path

  • Veröffentlicht: 10.10.2025
  • Aktualisiert: 11.10.2026 10:22

An authenticated stored XSS vulnerability exists in the Bagisto 2.3.6 admin panel's product creation path, allowing an attacker to upload a crafted SVG file containing malicious JavaScript code. This vulnerability can be exploited by an authenticated admin user to execute arbitrary JavaScript in the browser, potentially leading to session hijacking, data theft, or unauthorized actions.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket bagisto/bagisto >= 2.3.6, < 2.3.7 2.3.7

Verweise

CVSS-Wert 8.3/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:L/A:H
Schwäche (CWE)
CWE-79
Plattform
Composer
Paket
bagisto/bagisto
Veröffentlicht
10.10.2025
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-29mf-w486-v3vc - CC BY 4.0

Schwachstellenhistorie: bagisto/bagisto

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (20) im Archiv
Einträge insgesamt
20
Erste → letzte
11.2019 04.2026
Ohne Fix
2
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 1
  • Hoch 8
  • Mittel 9
  • Niedrig 2

Veröffentlichungen pro Jahr

Schweregrad:
  1. Bagisto is vulnerable to SSTI via name parameters provided by non-admin low-privilege users
    Hoch · 8.8 CVE-2026-21449 < 2.3.10 2.3.10
  2. Bagisto has IDOR in Customer Order Reorder Functionality
    Hoch · 7.1 CVE-2026-21447 < 2.3.10 2.3.10
  3. Bagisto has Normal & Blind SSTI from low-privilege user when ordering product
    Hoch · 9.8 CVE-2026-21448 < 2.3.10 2.3.10
  4. Bagisto SSTI vulnerability in type parameter can lead to RCE
    Hoch CVE-2026-21450 < 2.3.10 2.3.10
  5. Bagisto Missing Authentication on Installer API Endpoints
    Hoch · 9.8 CVE-2026-21446 >= 2.3.0, < 2.3.10 2.3.10
  6. bagisto has CSV Formula Injection in Create New Product
    Kritisch · 9.0 CVE-2025-62417 < 2.3.8 2.3.8
  7. Bagisto is vulnerable to XSS through Admin Panel's product creation path dieser Eintrag
    Hoch · 8.3 CVE-2025-60880 >= 2.3.6, < 2.3.7 2.3.7
  8. Bagisto Cross-Site Request Forgery vulnerability
    Hoch · 8.8 CVE-2023-36237 < 1.3.2 1.3.2
  9. Bagisto CSRF Vulnerability
    Hoch · 8.8 CVE-2019-14933 < 0.1.5 0.1.5

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.