CVE-2026-90570: XSS-уязвимость в linlinjava litemall через AdminGoodsService.validate

В популярном open-source проекте linlinjava litemall, представляющем собой стек для создания интернет-магазина, выявлена уязвимость межсайтового скриптинга (Cross-Site Scripting, XSS), получившая идентификатор CVE-2026-90570. О проблеме сообщили через issue-репорт, однако на момент публикации записи CVE реакция со стороны сопровождающих проекта отсутствовала.

Подробности

Уязвимость затрагивает linlinjava litemall в версиях 1.4.0, 1.5.0, 1.6.0, 1.7.0 и 1.8.0. Проблема локализована в функции AdminGoodsService.validate, код которой связан с файлом litemall-vue/src/views/items/detail/index.vue компонента Product Detail. По данным CVE-записи, манипулирование аргументом detail приводит к внедрению и выполнению произвольного скриптового кода в контексте браузера пользователя — классический сценарий XSS. Атака может быть запущена удалённо, что повышает риск эксплуатации, поскольку не требует физического доступа к инфраструктуре. Уязвимости присвоен базовый балл CVSS 4.8, что соответствует среднему уровню критичности. Такой рейтинг отражает умеренную сложность эксплуатации и ограниченное влияние на конфиденциальность и целостность, однако для административных интерфейсов даже средний XSS-риск может привести к краже сессионных токенов, выполнению действий от имени привилегированного пользователя или распространению вредоносных скриптов среди клиентов магазина.

Что делать

На момент публикации официальный патч от разработчиков linlinjava litemall отсутствует — проект не ответил на сообщение об уязвимости. В связи с этим владельцам систем на базе linlinjava litemall рекомендуется:

• Рассмотреть возможность перехода на альтернативные решения или форки, получающие своевременные обновления безопасности.
• Внедрить серверную и клиентскую валидацию и санитизацию входных данных, особенно аргумента detail в цепочке обработки товаров.
• Настроить Content Security Policy (CSP), ограничивающую выполнение inline-скриптов и загрузку внешних ресурсов.
• Ограничить доступ к административной панели проверенными IP-адресами и внедрить дополнительные уровни аутентификации.
• Регулярно отслеживать обновления по CVE-2026-90570 и связанным с ним рекомендациям на стороне сообщества.

Стоит учитывать, что при отсутствии патча любые меры носят компенсирующий характер и не устраняют корневую причину уязвимости. Если проект используется в продакшене, целесообразно провести самостоятельный аудит соответствующего участка кода (litemall-vue/src/views/items/detail/index.vue) и при необходимости внести локальные исправления.

Итог

CVE-2026-90570 — это XSS-уязвимость средней критичности, затрагивающая широкий диапазон версий linlinjava litemall и не имеющая на данный момент официального исправления. Владельцам затронутых инсталляций следует оперативно применить компенсирующие меры защиты или рассмотреть переход на поддерживаемое решение. Проект был уведомлён о проблеме через issue, но пока не отреагировал, что подчёркивает важность независимого мониторинга безопасности для open-source компонентов интернет-магазинов.

Источник: CVE Project (cvelistV5)