Shopper: Stored XSS über SVG- und HTML-Uploads ermöglicht Administrator-Erstellung

Zusammenfassung

Shopper ist ein headless E-Commerce-Admin-Panel für Laravel. Authentifizierte Back-Office-Mitarbeitende mit Upload-Rechten für Produkte oder Marken können SVG- oder HTML-Dateien speichern, die beim Öffnen durch einen Administrator Skripte ausführen, da Medien inline auf derselben Origin ausgeliefert werden. Das Skript kann ein persistentes Administrator-Konto mit einem frei gewählten Passwort erstellen, was Zugriff auf Kundendaten, Bestellungen, Einstellungen und Benutzer-/Rollenverwaltung gibt. Für die Ausnutzung muss ein Administrator die manipulierte Datei öffnen.

Betroffen

• Shopper 2.0.0 bis 2.10.0 (vor 2.10.1)
• Shopper 3.0.0-Vorabversionen beta.1 und beta.2 (vor 3.0.0-beta.3)

Behoben in

• Shopper 2.10.1
• Shopper 3.0.0-beta.3

Umgehung

Unbekannt.

• image/svg+xml aus der Medienkonfiguration entfernen und HTML- sowie ausführbare Uploads auf Webserver- oder Speicherebene einschränken.
• Medien unter /storage/ mit Content-Disposition: attachment und einer restriktiven Content-Security-Policy ausliefern.

Ausnutzung

• Für die Ausnutzung sind ein authentifizierter Benutzer mit den Rechten edit_products oder add_brands und ein Administrator nötig, der die hochgeladene Datei öffnet.
• Keine bekannte Ausnutzung in freier Wildbahn; nicht in der CISA-KEV-Liste.
• Zum Zeitpunkt der Erstellung ist kein öffentlicher Proof-of-Concept bekannt.

Unsere Empfehlung

• Shopper auf 2.10.1 oder 3.0.0-beta.3 (oder eine neuere stabile Version) aktualisieren und prüfen, ob die veröffentlichte Datei config/shopper/media.php manuell angepasst wurde.
• Upload-Rechte auf die Mitarbeitenden beschränken, die sie benötigen.
• Administrator-Konten und letzte Uploads auf unerwartete Einträge prüfen und unbekannte Konten entfernen.
• Den Zugriff auf das Admin-Panel nach Möglichkeit auf vertrauenswürdige Netze oder VPN beschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-vmvv-x5cp-2qv6 github.com
• Shopper release v2.10.1 github.com
• Shopper release v3.0.0-beta.3 github.com
• Fix commit 12be681 (block executable uploads) github.com
• Fix commit ad2c5b9 (restrict product files collection) github.com
• Pull request #595 github.com
• Pull request #597 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:15.