CVE-2026-48010 in Shopware
要約
〜によって VulDB • 2026年07月17日
Shopwareはオープンソースのコマースプラットフォームです。バージョン6.6.10.18および6.7.10.1より前では、src/Core/Framework/Api/Controller/UserController.php内のUserController::upsertUser()が管理者フィールドをフィルタリングせずにSYSTEM_SCOPE内で生ユーザーデータを書き込むため、user:createまたはuser:updateのACL権限を持つ非管理者APIユーザーは、新規または既存のユーザーに対してadmin: trueを設定できます。IntegrationController::upsertIntegration()には同様のフィールドに対するisAdmin()チェックが含まれていますが、UserControllerにはこのチェックが欠けていました。本問題はバージョン6.6.10.18および6.7.10.1で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.