CVE-2026-48009 in Shopware
要約
〜によって VulDB • 2026年07月17日
Shopwareはオープンソースのコマースプラットフォームです。バージョン6.6.10.18および6.7.10.1より前では、user_recovery:read ACL権限を持つ低権限管理者ユーザーが、POST /api/_action/user/user-recoveryをトリガーして任意の管理者アカウント乗っ取りが可能でした。具体的には、POST /api/search/user-recoveryを通じてパスワードリカバリハッシュを読み取り、PATCH /api/_action/user/user-recovery/passwordを使用します。根本原因は、src/Core/System/User/Recovery/UserRecoveryDefinition.phpがAdmin API経由でApiAware(false)またはReadProtectionを指定せずにhashフィールドを公開している点にあります。この問題はバージョン6.6.10.18および6.7.10.1で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.