CVE-2026-121733 Cross-site scripting (XSS) almacenado vía adjuntos de conversación RMA en Bagisto
Bagisto antes de 2.4.5 contiene una vulnerabilidad de cross-site scripting (XSS) almacenado que permite a clientes autenticados subir archivos HTML por el endpoint de envío de mensajes de RMA sin validación de tipo ni extensión. Pueden subir un adjunto .html con JavaScript servido bajo /storage/rma-conversation/, que se ejecuta en el origen de la tienda cuando un administrador lo abre.
CVSS 3.1
- CVSS 4.02.1 · baja
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 7
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Webkul Bagisto
hasta antes de 2.4.5
Qué hacer
- Verificá si usás Bagisto y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.4 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
CVSS 4.0 · 2.1 BAJA
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosBajos
- Interacción del usuarioPasiva
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Baja
- Integridad (sistemas posteriores)Baja
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Bagisto before 2.4.5 contains a stored cross-site scripting vulnerability that allows authenticated customers to upload HTML files via the RMA send-message endpoint without type or extension validation. Attackers can upload a .html attachment containing JavaScript served under /storage/rma-conversation/, executing script in the shop's origin when an administrator opens it.
Referencias (6)
- github.com/bagisto/bagisto/commit/204e43c26705b66ef2ddfb2a9eebb25f5e8f6a2c
- github.com/bagisto/bagisto
- github.com/bagisto/bagisto/commit/e28db3e8c53a94a99cf153ac338466720acd9004
- github.com/bagisto/bagisto/blob/v2.4.4/packages/Webkul/Shop/src/Http/Controllers/Customer…
- github.com/bagisto/bagisto/releases/tag/v2.4.5
- www.vulncheck.com/advisories/bagisto-before-2.4.5-stored-xss-via-rma-conversation-attachm…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.