CVE-2026-48010 in Shopware
Zusammenfassung
von VulDB • 18.07.2026
Shopware ist eine Open-Source-E-Commerce-Plattform. Vor den Versionen 6.6.10.18 und 6.7.10.1 schreibt UserController::upsertUser() in src/Core/Framework/Api/Controller/UserController.php rohe Benutzerdaten im SYSTEM_SCOPE, ohne das admin-Feld zu filtern; daher kann ein nicht-Admin-API-Benutzer mit user:create- oder user:update-ACL-Berechtigung admin: true für neue oder bestehende Benutzer festlegen. IntegrationController::upsertIntegration() enthält eine isAdmin()-Prüfung für dasselbe Feld, jedoch fehlte diese Prüfung in UserController. Dieses Problem wurde in den Versionen 6.6.10.18 und 6.7.10.1 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.