CVE-2026-48010 in Shopware
요약
\~에 의해 VulDB • 2026. 07. 17.
Shopware는 오픈 상거래 플랫폼입니다. 버전 6.6.10.18 및 6.7.10.1 이전의 src/Core/Framework/Api/Controller/UserController.php에 있는 UserController::upsertUser() 메서드는 admin 필드를 필터링하지 않고 SYSTEM_SCOPE에서 원시 사용자 데이터를 작성하므로, user:create 또는 user:update ACL 권한이 있는 비관리자 API 사용자는 새 사용자나 기존 사용자의 admin: true를 설정할 수 있습니다. IntegrationController::upsertIntegration()에는 동일한 필드에 대한 isAdmin() 확인이 포함되어 있지만, UserController에는 이 확인이 누락되어 있었습니다. 해당 문제는 버전 6.6.10.18 및 6.7.10.1에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.