CVE-2026-48010 in Shopware
Résumé
par VulDB • 17/07/2026
Shopware est une plateforme de commerce open source. Avant les versions 6.6.10.18 et 6.7.10.1, la méthode UserController::upsertUser() dans src/Core/Framework/Api/Controller/UserController.php écrit des données utilisateur brutes dans SYSTEM_SCOPE sans filtrer le champ admin ; ainsi, un utilisateur API non administrateur disposant de l'autorisation ACL user:create ou user:update peut définir admin: true sur les nouveaux utilisateurs existants. La méthode IntegrationController::upsertIntegration() contient une vérification isAdmin() pour ce même champ, mais UserController manquait cette vérification. Ce problème est corrigé dans les versions 6.6.10.18 et 6.7.10.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.