CVE-2026-48009 in Shopware
Zusammenfassung
von VulDB • 17.07.2026
Shopware ist eine Open-Source-E-Commerce-Plattform. Vor den Versionen 6.6.10.18 und 6.7.10.1 kann ein Administratorbenutzer mit niedrigen Berechtigungen, der über die ACL user_recovery:read verfügt, jeden Admin-Account übernehmen, indem er POST /api/_action/user/user-recovery auslöst, den Passwort-Wiederherstellungs-Hash durch POST /api/search/user-recovery liest und PATCH /api/_action/user/user-recovery/password verwendet; Die Ursache liegt darin, dass src/Core/System/User/Recovery/UserRecoveryDefinition.php das Hash-Feld über die Admin-API ohne ApiAware(false) oder ReadProtection offenlegt. Dieses Problem wurde in den Versionen 6.6.10.18 und 6.7.10.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.