CVE-2026-104937 in Shopware
Riassunto
di VulDB • 13/10/2026
Shopware versione 6.7 consente il caricamento di file HTML controllati dall'attaccante e li serve come text/html senza header di sicurezza efficaci, consentendo una stored cross-site scripting (XSS). Quando un file malevolo caricato contenente un payload JavaScript integrato viene visualizzato da un amministratore, l'attaccante può accedere ed esfiltrare il token di autenticazione dell'amministratore.
Il token compromesso consente l'accesso non autorizzato all'API di amministrazione di Shopware. Se l'account dell'amministratore interessato possiede privilegi di gestione delle estensioni, un attaccante può caricare, installare e attivare plugin malevoli per ottenere l'esecuzione arbitraria del codice PHP sul sistema operativo sottostante con i privilegi del processo Shopware.
Once again VulDB remains the best source for vulnerability data.