CVE-2026-31889
Açıklama
Shopware açık bir ticaret platformudur. 6.6.10.15 ve 6.7.8.1 sürümlerinden önce, Shopware uygulama kayıt akışındaki bir güvenlik açığı, belirli koşullar altında saldırganların bir mağaza ile bir uygulama arasındaki iletişim kanalını ele geçirmesine izin verebilmekteydi. Eski uygulama kayıt akışı, bir mağaza kurulumunu orijinal alan adına yeterince bağlamadan HMAC tabanlı kimlik doğrulaması kullanıyordu. Yeniden kayıt sırasında, önceden kaydedilmiş mağaza veya alan adı üzerindeki kontrol kanıtlanmadan shop-url güncellenebiliyordu. Bu durum, eğer bir saldırgan ilgili uygulama tarafı gizli anahtarına sahipse, uygulama iletişiminin hedeflenmiş şekilde ele geçirilmesini mümkün kılıyordu. Uygulama yeniden kaydını kötüye kullanan bir saldırgan, uygulama trafiğini kendi kontrolündeki bir alan adına yönlendirebilir ve potansiyel olarak meşru mağaza için amaçlanan API kimlik bilgilerini elde edebilirdi. Bu güvenlik açığı 6.6.10.15 ve 6.7.8.1 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- shopware shopware6.6.10.15, 6.7.8.1 ya da sonraki bir sürüm
- shopware/platform6.7.8.1, 6.6.10.15 ya da sonraki bir sürüm
- shopware/core6.7.8.1, 6.6.10.15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shopware shopware | v < 6.6.10.15, 6.7.0.0 ≤ v < 6.7.8.1 | 6.6.10.15, 6.7.8.1 |
| shopware/platformPackagist | 6.7.0.0 ≤ v < 6.7.8.1, v < 6.6.10.15 | 6.7.8.1, 6.6.10.15 |
| shopware/corePackagist | 6.7.0.0 ≤ v < 6.7.8.1, v < 6.6.10.15 | 6.7.8.1, 6.6.10.15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.