CVE-2026-41249
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
CoreShop w wersjach 5.0.1 do 5.1.0-beta.1 zawiera podatność w workflow GitHub Actions, która pozwala zewnętrznemu atakującemu na zdalne wykonanie kodu (RCE) poprzez przesłanie złośliwego Pull Requesta. Workflow używa `pull_request_target` i niebezpiecznie pobiera kod z gałęzi PR.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad runnerem GitHub Actions, co może prowadzić do kradzieży sekretów CI/CD lub modyfikacji repozytorium.
Rekomendacja
Usuń lub zabezpiecz workflow `static.yml` poprzez użycie bezpieczniejszego wyzwalacza i weryfikację kodu przed wykonaniem.
Inne podatności w CoreShop
Zobacz wszystkie- CVE-2026-108697Średnie
CoreShop do wersji 2026.2.2 zawiera podatność braku autoryzacji, która pozwala użytkownikom backendu o niskich uprawnieniach na listowanie zasobów z ograniczonym dostępem, ponieważ ResourceController listAction pomija sprawdzenie isGrantedOr403(). Uwierzytelnieni użytkownicy Pimcore bez uprawnień do zasobów mogą żądać wygenerowanych tras list, aby wyliczyć dostawców płatności, przewoźników, reguły cenowe, sklepy i reguły podatkowe, w tym ich identyfikatory, nazwy i identyfikatory.
- CVE-2026-108696Średnie
CoreShop do wersji 1.5.5 zawiera podatność na obejście autoryzacji w OrderController, która pozwala uwierzytelnionym klientom na działanie na zamówieniach innych klientów poprzez podanie identyfikatorów kontrolowanych przez użytkownika. Atakujący mogą pominąć pole data w OrderConfirm lub podać inny reshipId do SendReship, aby potwierdzić odbiór zamówień innych osób i nadpisać szczegóły śledzenia zwrotów.
- CVE-2026-22242Średnie
CoreShop przed wersją 4.1.8 zawiera podatność na ślepą iniekcję SQL (blind SQL injection), która pozwala uwierzytelnionemu administratorowi na ekstrakcję zawartości bazy danych technikami boolean-based lub time-based. Konto bazy danych używane przez aplikację jest tylko do odczytu i nie jest administratorem, więc wpływ ogranicza się do ujawnienia poufnych danych; brak możliwości modyfikacji danych lub zakłócenia usług.
Oryginalny opis (angielski, źródło NVD)
CoreShop is a Pimcore enhanced eCommerce solution. In versions 5.0.1 through 5.1.0-beta.1,, the GitHub Actions workflow (`.github/workflows/static.yml`) uses the `pull_request_target` trigger but dangerously checks out the unverified code from the pull request head (`ref: ${{ github.event.pull_request.head.ref }}`). Subsequently, it executes a script (`bin/console`) from this untrusted checkout. This allows any external attacker to achieve Remote Code Execution (RCE) on the GitHub Actions runner simply by submitting a malicious Pull Request. Also known as a "Pwn Request" vulnerability. As of time of publication, `pull_request_target` is still in the file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS