CVE-2025-67648
Açıklama
Shopware açık bir ticaret platformudur. 6.4.6.0 ile 6.6.10.9 ve 6.7.0.0 ile 6.7.5.0 arasındaki sürümlerde, AuthController.php dosyasında Reflected XSS zafiyeti bulunmaktadır. Giriş sayfası URL'sinden gelen bir istek parametresi, herhangi bir işlem veya girdi doğrulaması yapılmadan doğrudan Storefront giriş sayfasının Twig şablonu içinde işlenmektedir. Bu durum, uygun girdi doğrulamasına sahip olmayan waitTime URL parametresi aracılığıyla şablona doğrudan kod enjekte edilmesine olanak tanır. Bu sorun 6.6.10.10 ve 6.7.5.1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- shopware shopware6.6.10.10, 6.7.5.1 ya da sonraki bir sürüm
- shopware/shopware6.6.10.10, 6.7.5.1 ya da sonraki bir sürüm
- shopware/storefront6.6.10.10, 6.7.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shopware shopware | 6.4.6.0 ≤ v < 6.6.10.10, 6.7.0.0 ≤ v < 6.7.5.1 | 6.6.10.10, 6.7.5.1 |
| shopware/shopwarePackagist | 6.4.6.0 ≤ v < 6.6.10.10, 6.7.0.0 ≤ v < 6.7.5.1 | 6.6.10.10, 6.7.5.1 |
| shopware/storefrontPackagist | 6.4.6.0 ≤ v < 6.6.10.10, 6.7.0.0 ≤ v < 6.7.5.1 | 6.6.10.10, 6.7.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.