Open-Source-Unternehmensplattformen, Woche 38 2026: Kritische Schwachstellen in ERPNext und Shopware stehen an der Spitze von 49 Korrekturen

Das Release im Überblick

Während der Woche vom 14. bis 20. September 2026 veröffentlichten die Maintainer von Open-Source-Unternehmensplattformen Sicherheitshinweise zu 49 CVEs, die für unsere Leserinnen und Leser relevant sind. Den Schwerpunkt der Veröffentlichung bildet ERPNext (28), gefolgt von WordPress (11), Shopware (5), Server (3), Frappe (1) und Frappe Framework (1). Aufschlüsselung nach Schweregraden: 3 kritische, 20 hohe, 19 mittlere, 2 niedrige und 5 ohne Bewertung. Keine dieser CVEs ist in dieser Veröffentlichung als aktiv ausgenutzt gekennzeichnet, und keine ist in CISA KEV enthalten. Die kritischen Einträge betreffen ERPNext und Shopware. Wer eine dieser Plattformen einsetzt, sollte diese Aktualisierung daher mit hoher Priorität behandeln.

Was am meisten zählt

Drei Schwachstellen in ERPNext und drei in Shopware erfordern eine sofortige Überprüfung.

In ERPNext handelt es sich bei GHSA-v38v-9h2p-hr8v um eine kritische SQL-Injection in einigen Endpunkten. Jeder authentifizierte Benutzer, auch ohne zugewiesene Rollen, kann vertrauliche Informationen anderer Benutzer lesen und sich Zugriff auf ein privilegiertes Konto verschaffen. Die Schwachstelle ist in ERPNext 15.121.0 und 16.34.0 behoben. Bei GHSA-rv4r-c8v3-3hrc handelt es sich um eine kritische gespeicherte Cross-Site-Scripting-Schwachstelle auf einer öffentlich erreichbaren Buchungsseite; ein nicht authentifizierter Angreifer kann Skript in der Sitzung eines privilegierten Benutzers ausführen und als dieser Benutzer handeln. Die Schwachstelle ist in ERPNext 15.119.1 und 16.32.0 behoben. Bei GHSA-f99r-gp2w-xghj handelt es sich um eine hohe gespeicherte Cross-Site-Scripting-Schwachstelle in einer Berichtsansicht; sie ist in ERPNext 15.120.0 und 16.33.0 behoben. Zwei weitere hohe ERPNext-Schwachstellen durch fehlende Validierung sind erwähnenswert: GHSA-wp9w-rxmg-6pfj ermöglicht es Benutzern, Daten über ihre zugewiesene Rolle hinaus zu verändern, und ist in 15.121.0 und 16.34.0 behoben. GHSA-wwgm-3pv3-gmqh ermöglicht es authentifizierten Benutzern, Datensätze zu Geschäftspartnern über ihre zugewiesene Rolle hinaus zu lesen, und ist in 15.120.0 und 16.23.0 behoben.

In Shopware handelt es sich bei GHSA-r432-q883-wgvf um eine kritische Schwachstelle bei den Webhook-Berechtigungen. Unter bestimmten Konfigurationen kann ein Benutzer oder eine Integration mit der Berechtigung zum Anlegen von Webhooks Ereignisdaten erhalten, die über die zugewiesenen Berechtigungen hinausgehen, darunter Kunden-, Bestell-, Geschäftsprozess- oder E-Mail-bezogene Daten und möglicherweise Informationen zur Kontowiederherstellung. Sie ist in Shopware 6.6.10.25 und 6.7.14.1 behoben. Bei GHSA-2qxr-vvj4-5934 handelt es sich um eine hohe SQL-Injection über die Aggregationsverarbeitung der Store API, wenn PHP in einer Version vor 8.4 mit aktivierten emulierten Prepared Statements von PDO MySQL eingesetzt wird; ein nicht authentifizierter Store-API-Client kann beliebige Daten aus der zugrunde liegenden Datenbank lesen. Sie ist in Shopware 6.6.10.25 und 6.7.14.1 behoben. Bei GHSA-8xfc-pww7-3rm5 handelt es sich um eine hohe Rechteausweitung in der Shopware Administration: Ein Benutzer mit der Berechtigung user_change_me kann sein Konto zum Administrator heraufstufen. Sie ist in Shopware 6.6.10.25 und 6.7.14.1 behoben.

In dieser Reihenfolge patchen

1. Spielen Sie zuerst die Sicherheitsupdates für ERPNext ein. Installieren Sie ERPNext 15.121.0 / 16.34.0, um die kritische SQL-Injection GHSA-v38v-9h2p-hr8v und die hohen Schwachstellen durch fehlende Validierung im selben Zweig zu beheben. Installieren Sie die frühere Korrektur für die gespeicherte Cross-Site-Scripting-Schwachstelle GHSA-rv4r-c8v3-3hrc in den Versionen 15.119.1 / 16.32.0, falls noch nicht geschehen.
2. Spielen Sie als Nächstes die Sicherheitsupdates für Shopware ein. Führen Sie ein Upgrade auf Shopware 6.6.10.25 oder 6.7.14.1 durch; dieses behebt die kritische Schwachstelle bei den Webhook-Berechtigungen, die SQL-Injection über die Store API ohne vorherige Authentifizierung und die Rechteausweitung in der Administration.
3. Aktualisieren Sie anschließend die übrigen ERPNext-Sicherheitshinweise auf die in der Tabelle genannten korrigierten Versionen, einschließlich 15.121.3 / 16.35.0 für GHSA-cgjf-xw8x-qjjc und 15.120.0 / 16.23.0 für GHSA-wwgm-3pv3-gmqh, damit alle Schwachstellen durch fehlende Validierung und alle gespeicherten Cross-Site-Scripting-Schwachstellen abgedeckt sind.
4. Prüfen Sie die Einträge zu WordPress, Server, Frappe und Frappe Framework nach den Aktualisierungen für ERPNext und Shopware. Für keine dieser Schwachstellen ist in dieser Veröffentlichung eine aktive Ausnutzung markiert, und keine erscheint in CISA KEV.
5. Nutzen Sie für die SQL-Injection und die Rechteausweitung in Shopware bis zum Einspielen der Sicherheitsupdates die Workarounds des Herstellers: Aktualisieren Sie auf PHP 8.4 oder höher bzw. deaktivieren Sie die emulierten Prepared Statements von PDO MySQL und schränken Sie die Berechtigung user_change_me oder den Zugriff auf die Administration ein.

Über den Patch hinaus

Im nächsten Monat ist das beherrschbar, wenn Sie erfassen, welche dieser Plattformen Sie betreiben und wie schnell die Maintainer dieser Plattformen Schwachstellen mit hoher Auswirkung beheben. Unsere Implementierungs- und Bewertungsleistungen umfassen Penetrationstests und Härtung, mit denen sich Injection- und Authentifizierungsschwächen wie die SQL-Injection und die gespeicherten Cross-Site-Scripting-Schwachstellen in ERPNext erkennen lassen. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, aus dem Internet erreichbare Endpunkte wie die Shopware Store API, auf die ohne vorherige Authentifizierung zugegriffen werden kann, zu erkennen, bevor ein Update verfügbar ist.