Bagisto 2.3.6の管理パネルの商品作成パスには、認証済みのストアドXSSの脆弱性が存在します。この脆弱性を悪用することで、攻撃者は悪意のあるJavaScriptコードを含む細工されたSVGファイルをアップロードできます。認証済みの管理者ユーザーがこの脆弱性を利用した場合、ブラウザ上で任意のJavaScriptコードが実行され、セッションの乗っ取りやデータの窃取、不正な操作が引き起こされます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。