Nyílt forráskódú üzleti platformok, 2026. 38. hét: a 49 javítás élén kritikus ERPNext- és Shopware-hibák állnak

A kiadás röviden

1. szeptember 14–20. között a nyílt forráskódú üzleti platformok karbantartói olyan biztonsági közleményeket adtak ki, amelyek az olvasóinkat érintő 49 CVE-t fednek le. A kiadásban az ERPNext dominál (28), ezt követi a WordPress (11), a Shopware (5), a Server (3), a Frappe (1) és a Frappe Framework (1). Súlyosság szerinti megoszlás: 3 kritikus, 20 magas, 19 közepes, 2 alacsony és 5 pontozatlan. Ebben a kiadásban egyetlen CVE sincs kihasználtként jelölve, és egyik sem szerepel a CISA KEV-listán. A kritikus hibák az ERPNextben és a Shopware-ben találhatók, ezért azoknak, akik bármelyiket futtatják, kiemelten fontos frissítésként kell kezelniük ezt a kiadást.

A legfontosabbak

Azonnali áttekintést igényel három ERPNext- és három Shopware-hiba.

Az ERPNext esetében a GHSA-v38v-9h2p-hr8v kritikus SQL-injekció egyes végpontokon; bármely hitelesített felhasználó – akár kiosztott szerepkörök nélkül is – más felhasználók érzékeny adatait olvashatja, és kiemelt jogosultságú fiókot szerezhet. A hibát az ERPNext 15.121.0 és 16.34.0 verziója javítja. A GHSA-rv4r-c8v3-3hrc kritikus, tárolt XSS-hiba egy nyilvános foglalási oldalon; ennek révén egy hitelesítés nélkül eljáró támadó parancsfájlt futtathat egy kiemelt jogosultságú felhasználó munkamenetében, és az adott felhasználóként járhat el. A hibát az ERPNext 15.119.1 és 16.32.0 verziója javítja. A GHSA-f99r-gp2w-xghj magas súlyosságú, tárolt XSS-hiba egy jelentésnézetben; ezt az ERPNext 15.120.0 és 16.33.0 verziója javítja. Két további, magas súlyosságú, hiányzó ellenőrzésből adódó ERPNext-hibát is érdemes kiemelni: a GHSA-wp9w-rxmg-6pfj lehetővé teszi, hogy a felhasználók a megengedett szerepkörükön túl módosítsanak adatokat, és a 15.121.0, illetve a 16.34.0 verzió javítja, míg a GHSA-wwgm-3pv3-gmqh lehetővé teszi, hogy hitelesített felhasználók a megengedett szerepkörükön túl olvassanak partneradatokat, és a 15.120.0, illetve a 16.23.0 verzió javítja.

A Shopware esetében a GHSA-r432-q883-wgvf kritikus webhook-jogosultsági probléma: bizonyos beállítások mellett egy webhook-létrehozási jogosultsággal rendelkező felhasználó vagy integráció a kiosztott jogosultságain túlmutató eseményadatokat kaphat, köztük ügyfél-, rendelés-, üzleti folyamathoz vagy e-mailhez kapcsolódó adatokat, illetve akár fiók-helyreállítási információkat is. A hibát a Shopware 6.6.10.25 és 6.7.14.1 verziója javítja. A GHSA-2qxr-vvj4-5934 magas súlyosságú SQL-injekció a Store API aggregációs feldolgozásán keresztül, ha a rendszer PHP 8.4-nél korábbi verzión fut, és a PDO MySQL emulált előkészített utasításai engedélyezve vannak; egy hitelesítés nélkül eljáró Store API-kliens tetszőleges adatokat olvashat az alapul szolgáló adatbázisból. A hibát a Shopware 6.6.10.25 és 6.7.14.1 verziója javítja. A GHSA-8xfc-pww7-3rm5 magas súlyosságú jogosultságszint-emelés a Shopware Administration felületén: a user_change_me jogosultsággal rendelkező felhasználó a saját fiókját rendszergazdává emelheti. A hibát a Shopware 6.6.10.25 és 6.7.14.1 verziója javítja.

Javítási sorrend

1. Elsőként az ERPNextet javítsa. Frissítsen az ERPNext 15.121.0 / 16.34.0 verzióra, hogy megszüntesse a kritikus SQL-injekciót (GHSA-v38v-9h2p-hr8v) és az ugyanabban a verzióágban található, magas súlyosságú, hiányzó ellenőrzésből adódó hibákat. Ha még nem tette meg, telepítse a korábbi tárolt XSS-javítást is a 15.119.1 / 16.32.0 verzióból a GHSA-rv4r-c8v3-3hrc megszüntetéséhez.
2. Ezután a Shopware-t javítsa. Frissítsen a Shopware 6.6.10.25 vagy 6.7.14.1 verzióra, amely megszünteti a kritikus webhook-jogosultsági problémát, a hitelesítés nélkül eljáró Store API-t érintő SQL-injekciót és a Shopware Administration felületén lehetséges jogosultságszint-emelést.
3. Ezután frissítse a többi ERPNext-hibával érintett rendszert a táblázatban felsorolt javított verziókra, beleértve a GHSA-cgjf-xw8x-qjjc esetén a 15.121.3 / 16.35.0 verziót, a GHSA-wwgm-3pv3-gmqh esetén pedig a 15.120.0 / 16.23.0 verziót, hogy minden hiányzó ellenőrzésből adódó és tárolt XSS-hiba javítva legyen.
4. Az ERPNext és a Shopware frissítése után tekintse át a WordPress, a Server, a Frappe és a Frappe Framework érintett elemeit. Ebben a kiadásban egyiknek sincs ismert aktív kihasználása, és egyik sem szerepel a CISA KEV-listán.
5. A Shopware SQL-injekció és jogosultságszint-emelés esetén a javítás telepítéséig alkalmazza a szállító által megadott kerülő megoldásokat: frissítsen PHP 8.4-es vagy újabb verzióra, vagy tiltsa le a PDO MySQL emulált előkészített utasításait, továbbá korlátozza a user_change_me jogosultságot vagy az adminisztrációs hozzáférést.

A javításon túl

Mindez a következő hónapban kezelhető, ha felméri, mely platformokat futtatja, és milyen gyorsan javítják a karbantartók a nagy hatású hibákat. Bevezetési és felmérési szolgáltatásaink magukban foglalják a behatolási tesztelést és a rendszerek megerősítését, amelyek feltárják az injekciós és hitelesítési gyengeségeket – például az ERPNext SQL-injekciót és a tárolt XSS-hibákat –, míg Virtuális CISO szolgáltatás (vCISO) segíthet az internet felől elérhető végpontok, például a hitelesítés nélkül elérhető Shopware Store API azonosításában, még mielőtt a frissítés megérkezne.