Iniciar sesión
Deutsch English Español Polski
Media

Manipulation of product reviews via API

  • Publicada: 30.08.2021
  • Actualizado: 11.10.2026 10:22

Impact

Manipulation of product reviews via API

Patches

We recommend updating to the current version 6.4.3.1. You can get the update to 6.4.3.1 regularly via the Auto-Updater or directly via the download overview.

https://www.shopware.com/en/download/#shopware-6

Workarounds

For older versions of 6.1, 6.2, and 6.3, corresponding security measures are also available via a plugin. For the full range of functions, we recommend updating to the latest Shopware version.

https://store.shopware.com/en/detail/index/sArticle/518463/number/Swag136939272659

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer shopware/core < 6.4.3.1 6.4.3.1
Paquete de Composer shopware/platform < 6.4.3.1 6.4.3.1

Referencias

Puntuación CVSS 6.5/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Debilidad (CWE)
CWE-20
Plataforma
Composer
Paquete
shopware/core, shopware/platform
Publicada
30.08.2021
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-9f8f-574q-8jmf - CC BY 4.0

Historial de vulnerabilidades: shopware/core

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (65) en el archivo
Entradas en total
65
Primera → última
09.2020 06.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 5
  • Alta 16
  • Media 31
  • Baja 13

Divulgaciones por año

Gravedad:
  1. Shopware vulnerable to a potential take over of app credentials
    Alta · 8.9 CVE-2026-31889 >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 6.7.8.1, 6.6.10.15
  2. Shopware: Unauthenticated data extraction possible through store-api.order endpoint
    Alta CVE-2026-31887 >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 6.7.8.1, 6.6.10.15
  3. Shopware Has Improper Control of Generation of Code in Twig rendered views
    Alta · 7.2 CVE-2026-23498 >= 6.7.0.0, < 6.7.6.1 6.7.6.1
  4. Shopware: Reflective Cross Site-Scripting (XSS) in CMS components
    Alta · 8.8 ghsa-9v82-vcjx-m76j >= 6.7.0.0, < 6.7.2.1 6.7.2.1
  5. Shopware Vulnerable to Blind SQL-injection in DAL aggregations
    Alta · 7.3 CVE-2025-27892 >= 6.7.0.0-rc1, < 6.7.0.0-rc2, >= 6.6.0.0, < 6.6.10.3, < 6.5.8.18 6.7.0.0-rc2, 6.6.10.3, 6.5.8.18
  6. Shopware allows Denial Of Service via password length
    Alta · 7.5 CVE-2025-30151 >= 6.6.0.0, < 6.6.10.3, >= 6.7.0.0-rc1, < 6.7.0.0-rc2, < 6.5.8.17 6.6.10.3, 6.7.0.0-rc2, 6.5.8.17
  7. Shopware vulnerable to Server Side Template Injection in Twig using Context functions
    Alta · 8.3 CVE-2024-42356 < 6.5.8.13, >= 6.6.0.0, < 6.6.5.1 6.5.8.13, 6.6.5.1
  8. Shopware vulnerable to Server Side Template Injection in Twig using deprecation silence tag
    Alta · 8.3 CVE-2024-42355 < 6.5.8.13, >= 6.6.0.0, < 6.6.5.1 6.5.8.13, 6.6.5.1
  9. Blind SQL injection in shopware
    Crítica · 9.3 CVE-2024-22406 < 6.5.7.4 6.5.7.4
  10. Shopware Has Improper Control of Generation of Code in Twig rendered views
    Alta · 8.8 CVE-2023-2017 < 6.4.20.1 6.4.20.1
  11. Shopware vulnerable to Improper Control of Generation of Code in Twig rendered views
    Crítica · 9.8 CVE-2023-22731 < 6.4.18.1 6.4.18.1
  12. Shopware database password is leaked to an unauthenticated users
    Alta · 7.5 CVE-2020-13997 >= 6.0.0, < 6.2.3 6.2.3
  13. Improper Access Control in Shopware
    Alta · 8.1 CVE-2022-24872 < 6.4.10.1 6.4.10.1
  14. Server-Side Request Forgery (SSRF) in Shopware
    Alta · 7.2 CVE-2022-24871 < 6.4.10.1 6.4.10.1
  15. Webcache Poisoning in shopware/platform and shopware/core
    Crítica ghsa-r64m-qchj-hrjp < 6.4.6.1 6.4.6.1
  16. Command injection in mail agent settings
    Alta · 8.8 CVE-2021-37708 < 6.4.3.1 6.4.3.1
  17. Manipulation of product reviews via API esta entrada
    Media · 6.5 CVE-2021-37707 < 6.4.3.1 6.4.3.1
  18. Cross-Site Scripting via SVG media files
    Alta · 8.0 CVE-2021-37710 < 6.4.3.1 6.4.3.1
  19. Authenticated server-side request forgery in file upload via URL.
    Alta · 8.8 CVE-2021-37711 < 6.4.3.1 6.4.3.1
  20. Exposure of Sensitive Information to an Unauthorized Actor
    Alta · 7.5 CVE-2021-32717 < 6.4.1.1 6.4.1.1
Mostrar más (2) Mostrando 20 de 22

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.