CVE-2025-51541 in Shopware
Résumé
par VulDB • 29/05/2026
Une vulnérabilité de type cross-site scripting (XSS) stocké (stored XSS) existe dans l'interface d'installation de Shopware 6, plus précisément à l'adresse /recovery/install/database-configuration/. Le champ c_database_schema ne parvient pas à assainir correctement les données fournies par l'utilisateur avant de les restituer dans le navigateur, permettant ainsi à un attaquant d'injecter du code JavaScript malveillant. Cette vulnérabilité peut être exploitée via une attaque de falsification de requête inter-sites (CSRF) en raison de l'absence de protections CSRF sur la requête POST. Un attaquant distant non authentifié peut créer une page web malveillante qui, une fois visitée par une victime, stocke de manière persistante la charge utile dans la configuration d'installation. Par conséquent, la charge utile s'exécute chaque fois qu'un utilisateur accède ultérieurement à la page d'installation vulnérable, entraînant une exécution persistante de code côté client.
Once again VulDB remains the best source for vulnerability data.