Nyílt forráskódú üzleti platformok, 2026. 38. hét: az 51 biztonsági közlemény élén a Shopware és az ERPNext jogosultsági hibái állnak

A kiadás röviden

1. szeptember 14. és 20. között az érintett platformok karbantartói 51 sérülékenységet tettek közzé: 5 rendelkezik CVE-azonosítóval, 46-ot GitHub biztonsági közleményekben követnek nyomon. Súlyosság szerint 3 kritikus, 21 magas, 19 közepes, 2 alacsony besorolású, 6 pedig pontszám nélküli. A bejegyzésekből 31 a Frappe / ERPNext, 11 a WordPress, 5 a Shopware, 4 pedig a Nextcloud rendszerhez köthető.

A kiadásban szereplő sérülékenységek egyike sem szerepel a CISA Known Exploited Vulnerabilities katalógusában, és a biztonsági közlemények nem számolnak be aktív kihasználásról. A javítási munka a Shopware-re és az ERPNextre összpontosul, ahol a kritikus és magas súlyosságú bejegyzések találhatók.

A legfontosabbak

A Shopware esetében a GHSA-r432-q883-wgvf a legsúlyosabb: a webhook-engedélyellenőrzés megkerülheti az események ACL-jeit, így ügyfél-, rendelés- vagy e-mail-adatok válhatnak elérhetővé (CVSS 9,6). A GHSA-2qxr-vvj4-5934 lehetővé teszi, hogy egy hitelesítést nem igénylő Store API-kliens adatbázis-tartalmat olvasson, ha a PHP 8.4-nél korábbi verziója fut, és a PDO MySQL emulált előkészítése engedélyezve van (CVSS 8,6). A GHSA-8xfc-pww7-3rm5 lehetővé teszi, hogy egy hitelesített adminisztrációs felhasználó, aki a saját profilját szerkesztheti, adminisztrátorrá léptesse elő magát (CVSS 8,1). Mindháromhoz külön riasztási oldal tartozik ezen a webhelyen.

Az ERPNextben a GHSA-v38v-9h2p-hr8v kritikus SQL injection sérülékenység, amely bármely hitelesített felhasználó számára elérhető, akkor is, ha nincsenek hozzárendelt szerepkörei, és jogosultságszint-emeléshez vezethet (CVSS 9,6). A GHSA-rv4r-c8v3-3hrc kritikus tárolt XSS egy nyilvánosan elérhető foglalási oldalon, amelynek révén a támadó átvehet egy kiemelt jogosultságú munkamenetet (CVSS 9,3). A GHSA-f99r-gp2w-xghj és a GHSA-734c-hv9r-mg2c tárolt XSS-t írnak le a jelentés-, illetve az eszköznézetekben (mindkettő CVSS 8,7). A GHSA-jp5q-723q-g826 magas súlyosságú SQL injection sérülékenység, amely érzékeny adatok kinyerését teszi lehetővé (CVSS 7,7). A további ERPNext biztonsági közlemények hiányzó jogosultság-ellenőrzéseket fednek le az adatmódosítás, az állapotváltozások és a rekordok létrehozása terén.

Javítási sorrend

1. Frissítse a Shopware-t a 6.6.10.25 vagy a 6.7.14.1 verzióra. Ez a frissítés javítja a webhook-adatszivárgást (GHSA-r432-q883-wgvf), a Store API SQL injection hibáját (GHSA-2qxr-vvj4-5934) és a profilfrissítéshez kapcsolódó jogosultságszint-emelést (GHSA-8xfc-pww7-3rm5).
2. Amíg a Shopware javítása nem készül el, használja a közzétett kerülő megoldásokat: a GHSA-r432-q883-wgvf esetén korlátozza a webhook:create műveletet, és ellenőrizze a webhook-regisztrációkat és a kézbesítési naplókat; a GHSA-2qxr-vvj4-5934 esetén frissítse a PHP-t a 8.4-es vagy újabb verzióra, vagy kapcsolja ki a PDO MySQL emulált előkészítést; a GHSA-8xfc-pww7-3rm5 esetén pedig korlátozza az Administration hozzáférést, vagy távolítsa el a user_change_me jogosultságot, és ellenőrizze az adminisztrátori fiókokat.
3. Frissítse az ERPNextet. Kezdje a 15.119.1 / 16.32.0 verzióval a GHSA-rv4r-c8v3-3hrc és a GHSA-jp5q-723q-g826 javításához, a 15.120.0 / 16.33.0 verzióval a GHSA-f99r-gp2w-xghj javításához, a 15.121.0 / 16.33.0 verzióval a GHSA-jfwr-g9v2-57c9 javításához, a 15.121.0 / 16.34.0 verzióval a GHSA-v38v-9h2p-hr8v, a GHSA-wp9w-rxmg-6pfj és a GHSA-vr45-2p9x-3vjc javításához, a 15.121.3 / 16.35.0 verzióval a GHSA-cgjf-xw8x-qjjc javításához, végül a 15.112.0 / 16.23.0 verzióval a GHSA-734c-hv9r-mg2c javításához.
4. Ezután haladjon végig a táblázatban szereplő további WordPress- és Nextcloud-biztonsági közleményeken, valamint az alacsonyabb súlyosságú ERPNext biztonsági közleményeken aszerint, hogy az adott termék elérhető-e az internet felől, és a súlyosság mennyire illeszkedik az Ön környezetéhez.

A javításon túl

A kiadásban látott mintázatok ismerősek: az ERPNext esetében hiányzó jogosultság-ellenőrzés és bemeneti validáció, a Shopware esetében pedig webhookokkal és tulajdonsághatárokkal kapcsolatos gyengeségek. Egy bevezetési és felmérési szolgáltatás keretében tesztelhetők és megerősíthetők az internet felől elérhető Shopware és ERPNext példányok, mielőtt a támadók eljutnának ezekhez a hibatípusokhoz. A Menedzselt kiberbiztonsági felügyelet pedig EDR- és SIEM-lefedettséget nyújt arra a kódfuttatásra, jogosultságszint-emelésre vagy hitelesítő adatokkal való visszaélésre, ami egy kritikus bejegyzés kihasználása esetén bekövetkezne.