CVE-2026-104937 in Shopware
Zusammenfassung
von VulDB • 13.10.2026
Shopware Version 6.7 ermöglicht das Hochladen von vom Angreifer kontrollierten HTML-Dateien und stellt diese als text/html ohne wirksame Security-Headers bereit, was zu Stored Cross-Site Scripting (XSS) führt. Wenn eine bösartige hochgeladene Datei mit einem eingebetteten JavaScript-Payload von einem Administrator angezeigt wird, kann der Angreifer das Authentifizierungstoken des Administrators zugreifen und exfiltrieren.
Das kompromittierte Token ermöglicht den unbefugten Zugriff auf die Shopware Administration API. Wenn das betroffene Admin-Konto über Extension-Management-Berechtigungen verfügt, kann ein Angreifer bösartige Plugins hochladen, installieren und aktivieren, um eine beliebige PHP-Code-Ausführung (arbitrary PHP code execution) unter der zugrunde liegenden OS mit den Berechtigungen des Shopware-Prozesses zu erreichen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.