Shopware 6.7 tárolt cross-site scripting hibája adminisztrátori tokenek ellopásához és távoli kódfuttatáshoz vezethet (CVE-2026-104937)

Mi történt

A Shopware 6.7 lehetővé teszi, hogy a támadó által ellenőrzött HTML-fájlt töltsenek fel, és azt hatékony biztonsági fejlécek nélkül text/html tartalomtípusként szolgálják ki. Ez tárolt cross-site scripting állapotot eredményez. A CVE-bejegyzés a hibát magas súlyosságúnak, 8,1-es CVSS 3.1 pontszámmal értékeli: a támadási vektor a hálózat, a kihasználáshoz nem szükséges jogosultság, felhasználói interakció azonban igen, a bizalmasságra és a sértetlenségre gyakorolt hatás pedig magas.

Ha egy adminisztrátor megnyitja a rosszindulatú fájlt, a beágyazott JavaScript kód képes kiolvasni és kiszivárogtatni az adminisztrátor hitelesítési tokenjét. A megszerzett token ezután a Shopware Administration API ellen is felhasználható.

Ha a kompromittált adminisztrátori fiók bővítménykezelési jogosultságokkal rendelkezik, a támadó rosszindulatú bővítményeket tölthet fel, telepíthet és aktiválhat, hogy tetszőleges PHP-kódot futtasson az alapul szolgáló operációs rendszeren a Shopware-folyamat jogosultságaival. A CVE-bejegyzés nem sorol fel sem aktív kihasználást, sem nyilvános közzétételt.

Kit érint

A CVE-bejegyzés a Shopware 6.7-et érintettként sorolja fel. Javított verzió nem szerepel benne, és a CVE-bejegyzés nem tartalmaz gyártói javítást vagy kerülő megoldást. A Shopware jellemzően az internet felől elérhető webáruház-platform, ezért a Shopware 6.7-es áruházat üzemeltető vagy azt hosztoló csapatoknak az adminisztrációs felületet és a fájlfeltöltési útvonalakat is a vizsgálat hatókörébe tartozónak kell tekinteniük.

Mit kell most tenni

1. Korlátozza a Shopware Administration felület elérését megbízható hálózatokra vagy VPN-re, és ne tegye azt közvetlenül elérhetővé a nyilvános internetről.
2. Lehetőség szerint korlátozza vagy tiltsa le a HTML-fájlok feltöltését. Ha a feltöltés mégis szükséges, csak megbízható felhasználók számára engedélyezze, és ellenőrizze a meglévő feltöltési tárterületet gyanús HTML-fájlok szempontjából.
3. Ellenőrizze a Shopware Administration API tevékenységét váratlan bővítményfeltöltési, -telepítési vagy -aktiválási események szempontjából, különösen a változtatási időablakokon kívül.
4. Kövesse figyelemmel a Shopware gyártói csatornáját, és amint megjelenik a javított kiadás, telepítse azt. Javított verzió vagy kerülő megoldás egyelőre nem szerepel.

Hogyan észlelhető

Vizsgálja át a Shopware Administration API naplóit váratlan bővítményfeltöltési, -telepítési vagy -aktiválási események szempontjából, különösen akkor, ha az adminisztrátori munkamenetek szokatlan helyekről érkeznek. Ellenőrizze a feltöltési tárterületet azokra a HTML-fájlokra, amelyeket text/html tartalomtípussal szolgálnak ki. A CVE-bejegyzés nem ad meg konkrét kompromittálódásra utaló mutatókat.

A javításon túl

Mivel a Shopware-áruházak jellemzően az internet felől elérhetők, és javítás egyelőre nem áll rendelkezésre, a legfontosabb annak ellenőrzése, hogyan telepítették az áruházat, és hogyan szabályozzák a feltöltéseket. Egy penetrációs teszt és megerősítési felülvizsgálat kimutathatja, hogy a nem megbízható HTML-feltöltések eljutnak-e az adminisztrációs felülethez, és hogy a Shopware Administration API elérhető-e kívülről (Bevezetési és felmérési szolgáltatások). A kitettségkezelés feltárhatja a nyilvános adminisztrációs végpontokat és más elérhető szolgáltatásokat (Virtuális CISO szolgáltatás (vCISO)). Mivel a javítási ciklus jelenleg még nyitott, a Shopware mint szoftverszállító és frissítési gyakorlatának nyomon követése a harmadik felekkel kapcsolatos kockázatkezelés része (Ellátási lánc védelem és harmadik feles kockázat).