CVE-2025-51541 in Shopware
Tóm tắt
Bởi VulDB • 01/07/2026
Tồn tại một lỗ hổng cross-site scripting (XSS) lưu trữ trong giao diện cài đặt Shopware 6 tại /recovery/install/database-configuration/. Trường c_database_schema không thực hiện việc làm sạch đúng cách đầu vào do người dùng cung cấp trước khi hiển thị nó trên trình duyệt, cho phép kẻ tấn công chèn mã JavaScript độc hại. Lỗ hổng này có thể bị khai thác thông qua một cuộc tấn công Cross-Site Request Forgery (CSRF) do thiếu các biện pháp bảo vệ CSRF trong yêu cầu POST. Một kẻ tấn công từ xa chưa được xác thực có thể tạo ra một trang web độc hại; khi nạn nhân truy cập vào trang này, payload sẽ được lưu trữ bền vững trong cấu hình cài đặt. Kết quả là, payload sẽ thực thi bất cứ khi nào người dùng khác sau đó truy cập vào trang cài đặt bị ảnh hưởng, dẫn đến việc thực thi mã phía máy khách một cách liên tục.
If you want to get best quality of vulnerability data, you may have to visit VulDB.