CVE-2026-103905
WysokieCVSS 7.5Streszczenie
Podatność w JTL-Shop dotyczy middleware uwierzytelniania w panelu administracyjnym, który przetwarza przełącznik trybu bezpiecznego pluginów na ścieżce wylogowania przed sprawdzeniem uwierzytelnienia. Nieuwierzytelniony atakujący może przełączać tryb bezpieczny pluginów, dezaktywując wszystkie wtyczki i powodując denial of service w całym sklepie.
Ocena ryzyka
Atak może spowodować całkowite wyłączenie funkcji płatności i integracji, co prowadzi do przerwy w działaniu sklepu i strat finansowych.
Rekomendacja
Zaleca się natychmiastową aktualizację JTL-Shop oraz wdrożenie poprawek producenta, a także ograniczenie dostępu do panelu administracyjnego.
Inne podatności w JTL-Shop
Zobacz wszystkie- CVE-2026-103904Krytyczne
Publiczny endpoint zgody w JTL-Shop przyjmuje dowolne nazwy zgód od nieuwierzytelnionych odwiedzających bez walidacji względem skonfigurowanych elementów zgody. Nazwy te są zapisywane w statystykach zgód i renderowane bez kodowania wyjściowego w backendzie administracyjnym, co pozwala na wstrzyknięcie kodu skryptowego wykonywanego w przeglądarce administratora.
- CVE-2026-54390Krytyczne
Wersje JTL Shop od 5.2.0 do 5.7.1 zawierają podatność na wstrzykiwanie szablonów po stronie serwera, która pozwala nieautoryzowanym atakującym na wstrzykiwanie złośliwej składni szablonów z powodu niesanitowanych danych wejściowych użytkownika przekazywanych do silnika szablonów Smarty.
Oryginalny opis (angielski, źródło NVD)
The authentication middleware of the JTL-Shop administration backend processes the plugin safe mode toggle on the admin logout route before checking whether the requesting user is authenticated. An unauthenticated remote attacker can therefore switch the shop's plugin safe mode on and off, which deactivates all installed plugins and their functionality, such as payment and shipping integrations, resulting in a shop-wide denial of service. The attack requires a single request and can be automated against many installations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS