CVE-2023-2017

Shopware to otwarta platforma handlowa. Od wersji 6.7.0.0 do 6.7.6.1 wystąpiła regresja poprawki CVE-2023-2017, która powoduje, że tablica i starannie spreparowana domknięcie PHP nie są sprawdzane pod kątem listy dozwolonych dla nadpisania map(...). Luka została naprawiona w wersji 6.7.6.1.

Skrypt backend/Login/load/ w Shopware przed wersją 5.1.5 umożliwia zdalnym atakującym wykonanie dowolnego kodu.

Shopware w wersji 6.7 pozwala na przesyłanie plików HTML kontrolowanych przez atakującego i serwuje je jako text/html bez skutecznych nagłówków bezpieczeństwa, co umożliwia trwały cross-site scripting (XSS). Gdy administrator wyświetli złośliwy plik z osadzonym kodem JavaScript, atakujący może uzyskać i wykraść token uwierzytelniający administratora.

Shopware przed wersjami 6.6.10.18 i 6.7.10.1 zawiera podatność SSRF w endpointcie `/api/_action/media/external-link`. Uwierzytelniony administrator może wysyłać żądania HEAD do dowolnych wewnętrznych adresów IP, ponieważ walidacja URL w przepływie `linkURL` ogranicza się tylko do sprawdzenia formatu (regex dla prefiksu http/https), podczas gdy przepływ `uploadFromURL` poprawnie blokuje adresy prywatne.

W Shopware w wersjach 6.7.3.0 do 6.7.10.0 wykryto podatność na otwarte przekierowanie w punkcie końcowym SSO `/api/oauth/sso/auth`. Gdy brakuje oczekiwanego stanu sesji SSO, aplikacja używa nagłówka `Referer` jako celu przekierowania bez walidacji, co pozwala atakującemu na kontrolowanie docelowego adresu URL, w tym schematów takich jak `javascript:`.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1 endpoint API Store /store-api/handle-payment nie weryfikuje własności zamówienia ani autoryzacji gościa, co pozwala zwykłemu klientowi lub gościowi na wywołanie płatności dla zamówienia innego użytkownika.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1 pliki SVG są dozwolone na liście rozszerzeń i mogą być przesyłane przez menedżera multimediów bez sanityzacji treści SVG. Pozwala to na wykonanie złośliwego kodu JavaScript (np. onload, <script>, <foreignObject>) w domenie Shopware podczas wyświetlania przesłanego pliku SVG.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1 brakuje deklaracji ACL w endpointach zmiany stanu zamówienia, co pozwala niskouprzywilejowanym użytkownikom na modyfikację stanów zamówień, transakcji i dostaw bez odpowiednich uprawnień.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1, metoda upsertUser() w UserController zapisuje surowe dane użytkownika w SYSTEM_SCOPE bez filtrowania pola admin. Umożliwia to nieadministratorowi z uprawnieniami ACL user:create lub user:update ustawienie flagi admin: true dla nowych lub istniejących użytkowników.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1, użytkownik administracyjny z niskimi uprawnieniami posiadający ACL user_recovery:read może przejąć dowolne konto administratora. Podatność wynika z braku oznaczenia pola hash w encji UserRecovery jako ApiAware(false) lub ReadProtection, co umożliwia odczytanie hasha resetowania hasła przez API.