Shopware: Gespeicherte Cross-Site-Scripting-Lücke über HTML-Medienupload ermöglicht Admin-Token-Diebstahl
Zusammenfassung
Shopware 6.7 akzeptiert vom Angreifer kontrollierte HTML-Dateien im Medienupload und liefert sie als text/html ohne wirksame Sicherheitsheader aus. Wenn ein Administrator eine solche Datei öffnet, kann eingebettetes JavaScript dessen Authentifizierungs-Token stehlen. Mit diesem Token kann ein Angreifer auf die Administration-API zugreifen und, falls das Konto Erweiterungsverwaltungsrechte besitzt, schadhafte Plugins installieren, die beliebigen PHP-Code als Shopware-Prozess ausführen.
Betroffen
- Shopware 6.7 (Angaben von CERT/CC und CNA; Subversionen unbekannt)
- CWE-79 (Cross-Site Scripting)
Behoben in
- Unbekannt. Es wurde kein Patch oder keine korrigierte Version bestätigt.
- Für 15. Okt. 2026 war eine Wartung der Shopware PaaS mit dem Titel "Deploying a security improvement" für diese CVE geplant; unklar ist, ob sie auch selbst gehostete Installationen betrifft.
Umgehung
- Medienupload-Rechte auf vertrauenswürdige Rollen beschränken oder HTML-Uploads nach Möglichkeit deaktivieren (Einstellung vor einer Änderung im Produktivbetrieb mit Shopware bestätigen).
- Administratorkonten mit Erweiterungsverwaltungsrechten (Plugin-Installation/-Aktivierung) reduzieren.
- Zugriff auf das Admin-Panel auf VPN oder IP-Allowlists beschränken.
Ausnutzung
- Eine Ausnutzung in freier Wildbahn ist nicht bestätigt.
- Ein öffentlicher Proof-of-Concept ist nicht bestätigt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- EPSS laut einem Drittanbieter-Aggregator etwa 0,28 %; nicht im CISA KEV verifiziert.
Unsere Empfehlung
- Shopware kontaktieren, um den Patch-Status für Ihre Version und die Relevanz der PaaS-Wartung zu klären.
- Prüfen, welche Administratoren Medien hochladen können und welche Plugin-Rechte besitzen; nicht benötigte Rechte entfernen.
- Medienordner nach .html/.htm-Dateien durchsuchen und unerwartete Dateien prüfen.
- Protokolle zur Plugin-Installation und -Aktivierung überprüfen.
- Administratoren anweisen, bei angemeldetem Admin-Panel keine unbekannten Medienlinks zu öffnen.
- Administrativen Zugriff auf vertrauenswürdige Netzwerke beschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT/CC Vulnerability Note VU#157374 kb.cert.org
- Shopware status page (maintenance) status.shopware.com
- SecurityOnline report securityonline.info
- Vulners NVD mirror CVE-2026-104937 vulners.com
- Vulners EUVD-2026-99209 vulners.com
- GitHub Shopware advisory GHSA-xvhc-gm7j-mhmc (related SVG XSS, CVE-2026-48015) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:41.
Referenzen der NVD (2)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.