Shopware 6.7: Persistente Cross-Site-Scripting-Schwachstelle kann Admin-Tokens stehlen und zu Remotecodeausführung führen (CVE-2026-104937)

Was passiert ist

Shopware 6.7 ermöglicht es, eine vom Angreifer kontrollierte HTML-Datei hochzuladen und ohne wirksame Sicherheits-Header als text/html auszuliefern. Dadurch entsteht eine persistente Cross-Site-Scripting-Schwachstelle. Der CVE-Eintrag stuft die Schwachstelle als hohen Schweregrad ein und vergibt einen CVSS-3.1-Wert von 8,1: Der Angriffsvektor ist das Netzwerk, es sind keine Berechtigungen erforderlich, eine Benutzerinteraktion ist hingegen erforderlich, und die Auswirkungen auf Vertraulichkeit und Integrität sind hoch.

Wenn ein Administrator die bösartige Datei ansieht, kann eingebettetes JavaScript das Authentifizierungstoken des Administrators auslesen und an den Angreifer übertragen. Das gestohlene Token kann anschließend gegen die Shopware Administration API eingesetzt werden.

Verfügt das kompromittierte Administratorkonto über Rechte zur Erweiterungsverwaltung, kann der Angreifer bösartige Plugins hochladen, installieren und aktivieren, um auf dem zugrunde liegenden Betriebssystem beliebigen PHP-Code mit den Berechtigungen des Shopware-Prozesses auszuführen. Der CVE-Eintrag führt keine aktive Ausnutzung und keine öffentliche Offenlegung auf.

Wer betroffen ist

Der CVE-Eintrag führt Shopware 6.7 als betroffen auf. Es wird keine korrigierte Version genannt, und der CVE-Eintrag enthält weder eine Herstellerkorrektur noch eine Problemumgehung. Shopware ist eine Shop-Plattform, die in der Regel aus dem Internet erreichbar ist. Teams, die einen Shopware-6.7-Shop betreiben oder hosten, sollten die Administrationsoberfläche und die Datei-Upload-Pfade als relevant einstufen.

Was jetzt zu tun ist

1. Beschränken Sie den Zugriff auf die Shopware-Administrationsoberfläche auf vertrauenswürdige Netzwerke oder ein VPN und stellen Sie die Oberfläche nicht direkt im öffentlichen Internet bereit.
2. Beschränken oder deaktivieren Sie den Upload von HTML-Dateien, wo dies möglich ist. Sind Uploads erforderlich, erlauben Sie sie nur vertrauenswürdigen Benutzern und prüfen Sie den vorhandenen Upload-Speicher auf verdächtige HTML-Dateien.
3. Prüfen Sie die Aktivitäten der Shopware Administration API auf unerwartete Plugin-Uploads, -Installationen oder -Aktivierungen, insbesondere außerhalb von Änderungsfenstern.
4. Verfolgen Sie den Herstellerkanal von Shopware im Hinblick auf eine korrigierte Version und spielen Sie diese ein, sobald sie veröffentlicht wird. Bisher sind keine korrigierte Version und keine Problemumgehung aufgeführt.

Wie man es erkennt

Prüfen Sie die Protokolle der Shopware Administration API auf unerwartete Plugin-Uploads, -Installationen oder -Aktivierungen, insbesondere bei Administratorsitzungen, die aus ungewöhnlichen Standorten stammen. Untersuchen Sie den Upload-Speicher auf HTML-Dateien, die mit dem Content-Type text/html ausgeliefert werden. Der CVE-Eintrag enthält keine spezifischen Anzeichen für eine Kompromittierung.

Über den Patch hinaus

Da Shopware-Shops öffentlich erreichbar sind und noch keine korrigierte Version aufgeführt ist, besteht der zentrale Handlungsbedarf darin, die Bereitstellung des Shops und die Regeln für Datei-Uploads zu überprüfen. Ein Penetrationstest und eine Härtungsprüfung können testen, ob nicht vertrauenswürdige HTML-Uploads die Administrationsoberfläche erreichen und ob die Shopware Administration API aus dem Internet erreichbar ist (Implementierungsleistungen & Sicherheitsbewertungen). Mit Virtual CISO Services (vCISO) lassen sich öffentliche Administrationsendpunkte und andere erreichbare Dienste identifizieren. Da der Patch-Zyklus derzeit offen ist, gehört es zum Drittparteienrisikomanagement, Shopware als Softwarelieferanten und dessen Update-Verhalten zu verfolgen (Lieferkettenschutz & Drittparteienrisiko).