CVE-2026-48016
Açıklama
Shopware açık bir ticaret platformudur. 6.6.10.18 ve 6.7.10.1 sürümlerinden önce, src/Core/Checkout/Payment/SalesChannel/HandlePaymentMethodRoute.php dosyasındaki /store-api/handle-payment Store API uç noktası, kullanıcı tarafından kontrol edilen bir orderId kabul eder ve sipariş sahipliğini veya misafir siparişi kimlik doğrulamasını doğrulamadan bunu src/Core/Checkout/Payment/PaymentProcessor.php dosyasına iletir; bu durum, /store-api/order beklenen sahiplik modelini uygularken, normal bir müşterinin veya misafir bağlamının başka bir kullanıcının siparişi için ödeme akışını tetiklemesine olanak tanır. Bu sorun 6.6.10.18 ve 6.7.10.1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- shopware/platform6.7.10.1, 6.6.10.18 ya da sonraki bir sürüm
- shopware/core6.7.10.1, 6.6.10.18 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shopware/platformPackagist | 6.7.0.0 ≤ v < 6.7.10.1, v < 6.6.10.18 | 6.7.10.1, 6.6.10.18 |
| shopware/corePackagist | 6.7.0.0 ≤ v < 6.7.10.1, v < 6.6.10.18 | 6.7.10.1, 6.6.10.18 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.