CVE-2025-51541
Açıklama
Shopware 6 kurulum arayüzünde /recovery/install/database-configuration/ adresinde saklanan bir siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. c_database_schema alanı, kullanıcı tarafından sağlanan girdiyi tarayıcıda işlemeden önce uygun şekilde temizlememekte ve bu durum bir saldırganın kötü amaçlı JavaScript kodu enjekte etmesine olanak tanımaktadır. Bu zafiyet, POST isteğinde CSRF korumalarının bulunmaması nedeniyle bir Siteler Arası İstek Sahteciliği (CSRF) saldırısı aracılığıyla istismar edilebilir. Kimliği doğrulanmamış uzak bir saldırgan, kurban tarafından ziyaret edildiğinde yükü (payload) kurulum yapılandırmasında kalıcı olarak saklayan kötü amaçlı bir web sayfası oluşturabilir. Sonuç olarak, herhangi bir kullanıcı daha sonra savunmasız kurulum sayfasına eriştiğinde yük çalıştırılır ve bu da kalıcı istemci tarafı kod yürütülmesine yol açar.
Nasıl düzeltilir
- shopware shopware6.2.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shopware shopware | 6.1.0 ≤ v < 6.2.3 | 6.2.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.