CVE-2025-32378
Açıklama
Shopware açık kaynaklı bir e-ticaret yazılım platformudur. 6.6.10.3 veya 6.5.8.17 sürümlerinden önce, varsayılan double-opt-in ayarları, onay gerektirmeksizin toplu istenmeyen bülten kayıtlarına izin vermektedir. Varsayılan ayarlar; Newsletter: Double Opt-in aktif, Newsletter: Double opt-in for registered customers devre dışı ve Log-in & sign-up: Double opt-in on sign-up devre dışı şeklindedir. Bu ayarlarla herhangi bir kişi, herhangi bir e-posta adresi kullanarak mağazada hesap oluşturabilir ve ardından hesap sayfasındaki onay kutusunu işaretleyerek bültene kayıt olabilir. Alıcıya hem kayıt işlemini hem de bültene katılımı onaylayan iki e-posta gönderilir ve her ikisi için de herhangi bir onay bağlantısına tıklanması gerekmez. Backend tarafında alıcı "instantly active" olarak ayarlanır. Bu güvenlik açığı 6.6.10.3 veya 6.5.8.17 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- shopware shopware6.5.8.17, 6.6.10.3 ya da sonraki bir sürüm
- shopware/core6.6.10.3, 6.7.0.0-rc2, 6.5.8.17 ya da sonraki bir sürüm
- shopware/platform6.6.10.3, 6.7.0.0-rc2, 6.5.8.17 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shopware shopware | v < 6.5.8.17, 6.6.0.0 ≤ v < 6.6.10.3, 6.7.0.0 | 6.5.8.17, 6.6.10.3 |
| shopware/corePackagist | 6.6.0.0-rc1 ≤ v < 6.6.10.3, 6.7.0.0-rc1 ≤ v < 6.7.0.0-rc2, v < 6.5.8.17 | 6.6.10.3, 6.7.0.0-rc2, 6.5.8.17 |
| shopware/platformPackagist | 6.6.0.0-rc1 ≤ v < 6.6.10.3, 6.7.0.0-rc1 ≤ v < 6.7.0.0-rc2, v < 6.5.8.17 | 6.6.10.3, 6.7.0.0-rc2, 6.5.8.17 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.