Open-Source-Geschäftsplattformen, Woche 38 2026: Autorisierungsfehler in Shopware und ERPNext prägen 51 Sicherheitshinweise

Das Release im Überblick

Zwischen dem 14. und 20. September 2026 meldeten die Maintainer dieser Plattformen 51 Schwachstellen: 5 tragen CVE-Kennungen, 46 werden als GitHub-Sicherheitshinweise geführt. Nach Schweregrad sind 3 kritisch, 21 hoch, 19 mittel, 2 niedrig und 6 ohne Bewertung. Auf Frappe / ERPNext entfallen 31 der Einträge, auf WordPress 11, auf Shopware 5 und auf Nextcloud 4.

Keine der in dieser Veröffentlichung enthaltenen Schwachstellen ist im Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) der CISA gelistet, und die Sicherheitshinweise berichten nicht über eine aktive Ausnutzung. Der Handlungsbedarf konzentriert sich auf Shopware und ERPNext, wo die kritischen und hoch eingestuften Einträge liegen.

Was am meisten zählt

In Shopware ist GHSA-r432-q883-wgvf der schwerwiegendste Hinweis: Eine Webhook-Berechtigungsprüfung kann Ereignis-ACLs umgehen und Kunden-, Bestell- oder E-Mail-Daten offenlegen (CVSS 9,6). GHSA-2qxr-vvj4-5934 ermöglicht es einem nicht authentifizierten Client der Store-API, Datenbankinhalte zu lesen, wenn PHP vor 8.4 mit aktivierten emulierten Prepared Statements von PDO MySQL ausgeführt wird (CVSS 8,6). GHSA-8xfc-pww7-3rm5 ermöglicht es einer authentifizierten Person mit Administrationszugang und dem Recht zur Bearbeitung des eigenen Profils, sich selbst Administratorrechte zu verschaffen (CVSS 8,1). Zu allen dreien gibt es auf dieser Website eigene Schwachstellen-Warnungen.

In ERPNext ist GHSA-v38v-9h2p-hr8v eine kritische SQL-Injection, die für beliebige authentifizierte Nutzerinnen und Nutzer zugänglich ist, auch für solche ohne zugewiesene Rollen, und zu einer Rechteausweitung führen kann (CVSS 9,6). GHSA-rv4r-c8v3-3hrc ist ein kritisches gespeichertes XSS auf einer öffentlich erreichbaren Buchungsseite, mit dem eine privilegierte Sitzung übernommen werden kann (CVSS 9,3). GHSA-f99r-gp2w-xghj und GHSA-734c-hv9r-mg2c sind gespeichertes XSS in Berichts- bzw. Werkzeugansichten (jeweils CVSS 8,7). GHSA-jp5q-723q-g826 ist eine SQL-Injection mit hohem Schweregrad, über die sich vertrauliche Informationen extrahieren lassen (CVSS 7,7). Weitere ERPNext-Hinweise betreffen fehlende Autorisierung bei Datenänderungen, Statusänderungen und der Neuanlage von Datensätzen.

In dieser Reihenfolge patchen

1. Aktualisieren Sie Shopware auf 6.6.10.25 oder 6.7.14.1. Damit werden die Offenlegung von Webhook-Daten (GHSA-r432-q883-wgvf), die SQL-Injection über die Store-API (GHSA-2qxr-vvj4-5934) und die Rechteausweitung über die Profilbearbeitung (GHSA-8xfc-pww7-3rm5) behoben.
2. Solange die Shopware-Aktualisierung noch nicht abgeschlossen ist, nutzen Sie die veröffentlichten Problemumgehungen: Schränken Sie für GHSA-r432-q883-wgvf webhook:create ein und prüfen Sie Webhook-Registrierungen sowie Zustellprotokolle; für GHSA-2qxr-vvj4-5934 aktualisieren Sie PHP auf 8.4 oder höher oder deaktivieren Sie die emulierten Prepared Statements von PDO MySQL; für GHSA-8xfc-pww7-3rm5 schränken Sie den Administrationszugriff ein oder entfernen Sie die Berechtigung user_change_me und überprüfen Sie Administratorkonten.
3. Spielen Sie die Sicherheitsupdates für ERPNext ein. Beginnen Sie mit 15.119.1 / 16.32.0 für GHSA-rv4r-c8v3-3hrc und GHSA-jp5q-723q-g826; 15.120.0 / 16.33.0 für GHSA-f99r-gp2w-xghj; 15.121.0 / 16.33.0 für GHSA-jfwr-g9v2-57c9; 15.121.0 / 16.34.0 für GHSA-v38v-9h2p-hr8v, GHSA-wp9w-rxmg-6pfj und GHSA-vr45-2p9x-3vjc; 15.121.3 / 16.35.0 für GHSA-cgjf-xw8x-qjjc sowie 15.112.0 / 16.23.0 für GHSA-734c-hv9r-mg2c.
4. Arbeiten Sie anschließend die übrigen Sicherheitshinweise für WordPress und Nextcloud sowie die ERPNext-Hinweise mit niedrigeren Schweregraden in der Tabelle ab – je nachdem, wo die jeweiligen Produkte aus dem Internet erreichbar sind und wie der Schweregrad zu Ihrer Umgebung passt.

Über den Patch hinaus

Die Muster in dieser Veröffentlichung sind bekannt: fehlende Autorisierung und Eingabevalidierung in ERPNext sowie Schwachstellen bei Webhooks und an den Grenzen von Objekteigenschaften in Shopware. Mit Implementierungs- und Bewertungsleistungen lassen sich öffentlich erreichbare Shopware- und ERPNext-Instanzen prüfen und härten, bevor diese Schwachstellenklassen zum Tragen kommen. Mit Managed Detection and Response erhalten Sie EDR- und SIEM-Abdeckung für Codeausführung, Rechteausweitung oder den Missbrauch von Zugangsdaten, die folgen könnten, wenn ein kritischer Eintrag ausgenutzt wird.