CVE-2026-48012 in Shopware
Résumé
par VulDB • 24/07/2026
Shopware est une plateforme de commerce ouverte (open source). Les versions 6.7.3.0 à 6.7.10.0 présentent un problème d'ouverture de redirection (open redirect) dans le point d'entrée SSO public de Shopware, accessible via `GET /api/oauth/sso/auth`. Lorsque ce point de terminaison est atteint sans l'état de session SSO attendu, l'application revient à l'en-tête `Referer` de la requête et utilise cette valeur comme destination de redirection. Dans le comportement validé, le serveur ne restreint pas cette cible de repli aux URL du même domaine (same-origin), n'exige pas un chemin relatif et n'invalide pas les schémas dangereux tels que `javascript:`. Par conséquent, une requête non authentifiée peut transformer ce point de terminaison en une primitive de redirection réutilisable dont la destination est entièrement contrôlée par des métadonnées de requête fournies par l'attaquant. Le problème de sécurité ne se limite pas à un simple désalignement de navigation inoffensif. Ce point de terminaison étant situé sous `/api/oauth/`, il confère une origine d'apparence fiable et contrôlée par l'application, ce qui le rend adapté aux chaînes de hameçonnage (phishing), aux abus liés aux redirections portant la marque de l'entreprise, ainsi qu'aux cas où les logiciels clients suivent automatiquement les redirections émises par un hôte de confiance. Les preuves jointes montrent également que la réponse n'est pas uniquement une HTTP `302` avec un en-tête `Location` contrôlé par l'utilisateur. Le corps HTML contient une balise meta refresh correspondante et un lien de redirection construits à partir de la même valeur contrôlée par l'attaquant. Dans le proof-of-concept validé, le point de terminaison redirige vers `https://attacker.example/poc` lorsque cette URL est fournie via `Referer`, et il reflète également `javascript:alert(1)` dans `Location` ainsi que dans le corps HTML de la redirection sans aucun filtrage de schéma. Ce rapport adopte donc une approche conservatrice en affirmant qu'il s'agit d'une ouverture de redirection avec des cibles arbitraires, tout en notant que l'absence de restrictions sur les schémas aggrave considérablement le comportement par rapport à une redirection externe au même schéma. La version 6.7.10.1 corrige ce problème.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.