CVE-2024-22406
Açıklama
Shopware açık bir headless ticaret platformudur. Shopware uygulama API'si, kullanıcıların Shopware örnekleri içinde saklanan bilgileri aramalarını sağlayan bir arama işlevi içerir. Bu işlev tarafından gerçekleştirilen aramalar, “aggregations” nesnesindeki parametreler kullanılarak toplulaştırılabilir. Bu “aggregations” nesnesindeki ‘name’ alanı SQL-injection zafiyetine sahiptir ve zaman tabanlı SQL sorguları kullanılarak istismar edilebilir. Bu sorun giderilmiştir ve kullanıcıların Shopware 6.5.7.4 sürümüne güncellemeleri önerilir. 6.1, 6.2, 6.3 ve 6.4'ün eski sürümleri için ilgili güvenlik önlemleri bir eklenti aracılığıyla da mevcuttur. Tüm fonksiyonların tam kapsamı için en güncel Shopware sürümüne güncellenmesi tavsiye edilir.
Nasıl düzeltilir
- shopware shopware6.5.7.4 ya da sonraki bir sürüm
- shopware/core6.5.7.4 ya da sonraki bir sürüm
- shopware/platform6.5.7.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shopware shopware | v < 6.5.7.4 | 6.5.7.4 |
| shopware/corePackagist | v < 6.5.7.4 | 6.5.7.4 |
| shopware/platformPackagist | v < 6.5.7.4 | 6.5.7.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.