CVE-2026-48011

Shopware to otwarta platforma handlowa. Od wersji 6.7.0.0 do 6.7.6.1 wystąpiła regresja poprawki CVE-2023-2017, która powoduje, że tablica i starannie spreparowana domknięcie PHP nie są sprawdzane pod kątem listy dozwolonych dla nadpisania map(...). Luka została naprawiona w wersji 6.7.6.1.

Skrypt backend/Login/load/ w Shopware przed wersją 5.1.5 umożliwia zdalnym atakującym wykonanie dowolnego kodu.

Shopware przed wersjami 6.6.10.18 i 6.7.10.1 zawiera podatność SSRF w endpointcie `/api/_action/media/external-link`. Uwierzytelniony administrator może wysyłać żądania HEAD do dowolnych wewnętrznych adresów IP, ponieważ walidacja URL w przepływie `linkURL` ogranicza się tylko do sprawdzenia formatu (regex dla prefiksu http/https), podczas gdy przepływ `uploadFromURL` poprawnie blokuje adresy prywatne.

W Shopware w wersjach 6.7.3.0 do 6.7.10.0 wykryto podatność na otwarte przekierowanie w punkcie końcowym SSO `/api/oauth/sso/auth`. Gdy brakuje oczekiwanego stanu sesji SSO, aplikacja używa nagłówka `Referer` jako celu przekierowania bez walidacji, co pozwala atakującemu na kontrolowanie docelowego adresu URL, w tym schematów takich jak `javascript:`.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1 endpoint API Store /store-api/handle-payment nie weryfikuje własności zamówienia ani autoryzacji gościa, co pozwala zwykłemu klientowi lub gościowi na wywołanie płatności dla zamówienia innego użytkownika.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1 pliki SVG są dozwolone na liście rozszerzeń i mogą być przesyłane przez menedżera multimediów bez sanityzacji treści SVG. Pozwala to na wykonanie złośliwego kodu JavaScript (np. onload, <script>, <foreignObject>) w domenie Shopware podczas wyświetlania przesłanego pliku SVG.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1 brakuje deklaracji ACL w endpointach zmiany stanu zamówienia, co pozwala niskouprzywilejowanym użytkownikom na modyfikację stanów zamówień, transakcji i dostaw bez odpowiednich uprawnień.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1, metoda upsertUser() w UserController zapisuje surowe dane użytkownika w SYSTEM_SCOPE bez filtrowania pola admin. Umożliwia to nieadministratorowi z uprawnieniami ACL user:create lub user:update ustawienie flagi admin: true dla nowych lub istniejących użytkowników.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1, użytkownik administracyjny z niskimi uprawnieniami posiadający ACL user_recovery:read może przejąć dowolne konto administratora. Podatność wynika z braku oznaczenia pola hash w encji UserRecovery jako ApiAware(false) lub ReadProtection, co umożliwia odczytanie hasha resetowania hasła przez API.

W Shopware przed wersjami 6.6.10.18 i 6.7.10.1, niebędący administratorem użytkownik API z uprawnieniem ACL integration:create może eskalować swoje uprawnienia do pełnego administratora. Dzieje się tak poprzez utworzenie integracji z polem admin: true za pomocą endpointu Sync API POST /api/_action/sync, który nie sprawdza tego pola, w przeciwieństwie do standardowego endpointu integracji.