CVE-2026-104937
Niskie ryzyko· EPSS 19%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Shopware w wersji 6.7 pozwala na przesyłanie plików HTML kontrolowanych przez atakującego i serwuje je jako text/html bez skutecznych nagłówków bezpieczeństwa, co umożliwia trwały cross-site scripting (XSS). Gdy administrator wyświetli złośliwy plik z osadzonym kodem JavaScript, atakujący może uzyskać i wykraść token uwierzytelniający administratora.
Ocena ryzyka
Przejęcie tokenu administratora daje nieautoryzowany dostęp do Shopware Administration API, a przy uprawnieniach do zarządzania rozszerzeniami pozwala zainstalować złośliwe wtyczki i wykonać dowolny kod PHP na serwerze. Stanowi to poważne ryzyko pełnego przejęcia systemu i danych.
Rekomendacja
Zaktualizuj Shopware do wersji zawierającej poprawkę, ogranicz możliwość przesyłania plików HTML oraz wdróż skuteczne nagłówki bezpieczeństwa (np. Content-Security-Policy, Content-Disposition). Rozważ unieważnienie aktywnych sesji administratorów.
Inne podatności w Shopware
Zobacz wszystkie- CVE-2026-23498Wysokie
Shopware to otwarta platforma handlowa. Od wersji 6.7.0.0 do 6.7.6.1 wystąpiła regresja poprawki CVE-2023-2017, która powoduje, że tablica i starannie spreparowana domknięcie PHP nie są sprawdzane pod kątem listy dozwolonych dla nadpisania map(...). Luka została naprawiona w wersji 6.7.6.1.
- CVE-2016-3109Krytyczne
Skrypt backend/Login/load/ w Shopware przed wersją 5.1.5 umożliwia zdalnym atakującym wykonanie dowolnego kodu.
- CVE-2026-48013Średnie
Shopware przed wersjami 6.6.10.18 i 6.7.10.1 zawiera podatność SSRF w endpointcie `/api/_action/media/external-link`. Uwierzytelniony administrator może wysyłać żądania HEAD do dowolnych wewnętrznych adresów IP, ponieważ walidacja URL w przepływie `linkURL` ogranicza się tylko do sprawdzenia formatu (regex dla prefiksu http/https), podczas gdy przepływ `uploadFromURL` poprawnie blokuje adresy prywatne.
- CVE-2026-48012Średnie
W Shopware w wersjach 6.7.3.0 do 6.7.10.0 wykryto podatność na otwarte przekierowanie w punkcie końcowym SSO `/api/oauth/sso/auth`. Gdy brakuje oczekiwanego stanu sesji SSO, aplikacja używa nagłówka `Referer` jako celu przekierowania bez walidacji, co pozwala atakującemu na kontrolowanie docelowego adresu URL, w tym schematów takich jak `javascript:`.
- CVE-2026-48016Średnie
W Shopware przed wersjami 6.6.10.18 i 6.7.10.1 endpoint API Store /store-api/handle-payment nie weryfikuje własności zamówienia ani autoryzacji gościa, co pozwala zwykłemu klientowi lub gościowi na wywołanie płatności dla zamówienia innego użytkownika.
- CVE-2026-48015Średnie
W Shopware przed wersjami 6.6.10.18 i 6.7.10.1 pliki SVG są dozwolone na liście rozszerzeń i mogą być przesyłane przez menedżera multimediów bez sanityzacji treści SVG. Pozwala to na wykonanie złośliwego kodu JavaScript (np. onload, <script>, <foreignObject>) w domenie Shopware podczas wyświetlania przesłanego pliku SVG.
- CVE-2026-48014Średnie
W Shopware przed wersjami 6.6.10.18 i 6.7.10.1 brakuje deklaracji ACL w endpointach zmiany stanu zamówienia, co pozwala niskouprzywilejowanym użytkownikom na modyfikację stanów zamówień, transakcji i dostaw bez odpowiednich uprawnień.
- CVE-2026-48010Średnie
W Shopware przed wersjami 6.6.10.18 i 6.7.10.1, metoda upsertUser() w UserController zapisuje surowe dane użytkownika w SYSTEM_SCOPE bez filtrowania pola admin. Umożliwia to nieadministratorowi z uprawnieniami ACL user:create lub user:update ustawienie flagi admin: true dla nowych lub istniejących użytkowników.
- CVE-2026-48009Średnie
W Shopware przed wersjami 6.6.10.18 i 6.7.10.1, użytkownik administracyjny z niskimi uprawnieniami posiadający ACL user_recovery:read może przejąć dowolne konto administratora. Podatność wynika z braku oznaczenia pola hash w encji UserRecovery jako ApiAware(false) lub ReadProtection, co umożliwia odczytanie hasha resetowania hasła przez API.
- CVE-2026-48008Średnie
W Shopware przed wersjami 6.6.10.18 i 6.7.10.1, niebędący administratorem użytkownik API z uprawnieniem ACL integration:create może eskalować swoje uprawnienia do pełnego administratora. Dzieje się tak poprzez utworzenie integracji z polem admin: true za pomocą endpointu Sync API POST /api/_action/sync, który nie sprawdza tego pola, w przeciwieństwie do standardowego endpointu integracji.
Oryginalny opis (angielski, źródło NVD)
Shopware version 6.7 allows the upload of attacker‑controlled HTML files and serves them as text/html without effective security headers, enabling stored cross-site scripting (XSS). When a malicious uploaded file containing an embedded JavaScript payload is viewed by an administrator, the attacker can access and exfiltrate the administrator's authentication token. The compromised token enables unauthorized access to the Shopware Administration API. If the affected administrator account possesses extension‑management privileges, an attacker can upload, install, and activate malicious plugins to achieve arbitrary PHP code execution on the underlying OS with the privileges of the Shopware process.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS