Zaloguj się
Deutsch English Español Polski
Średnia

Shopware has Improper Input Validation issue in newsletter subscription

  • Ujawniono: 20.01.2023
  • Aktualizacja: 11.10.2026 10:22

Impact

The newsletter double opt-in validation was not checked properly, and it was possible to skip the complete double opt in process.

Patches

The problem has been fixed with 6.4.18.1

Workarounds

For older versions of 6.1, 6.2, and 6.3, corresponding security measures are also available via a plugin. For the full range of functions, we recommend updating to the latest Shopware version. Or disable the newsletter registration completely.

References

https://docs.shopware.com/en/shopware-6-en/security-updates/security-update-01-2023?category=security-updates

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer shopware/core < 6.4.18.1 6.4.18.1
Paczka Composer shopware/platform < 6.4.18.1 6.4.18.1

Odnośniki

Ocena CVSS 4.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
Słabość (CWE)
CWE-20
Platforma
Composer
Paczka
shopware/core, shopware/platform
Ujawniono
20.01.2023
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-46h7-vj7x-fxg2 - CC BY 4.0

Historia podatności: shopware/platform

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (70) w archiwum
Wszystkich wpisów
70
Pierwsza → ostatnia
09.2020 06.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 6
  • Wysoka 16
  • Średnia 33
  • Niska 15

Ujawnienia w latach

Istotność:
  1. Shopware vulnerable to a potential take over of app credentials
    Wysoka · 8.9 CVE-2026-31889 >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 6.7.8.1, 6.6.10.15
  2. Shopware: Unauthenticated data extraction possible through store-api.order endpoint
    Wysoka CVE-2026-31887 >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 6.7.8.1, 6.6.10.15
  3. Shopware Vulnerable to Blind SQL-injection in DAL aggregations
    Wysoka · 7.3 CVE-2025-27892 >= 6.7.0.0-rc1, < 6.7.0.0-rc2, >= 6.6.0.0, < 6.6.10.3, < 6.5.8.18 6.7.0.0-rc2, 6.6.10.3, 6.5.8.18
  4. Shopware allows Denial Of Service via password length
    Wysoka · 7.5 CVE-2025-30151 >= 6.6.0.0, < 6.6.10.3, >= 6.7.0.0-rc1, < 6.7.0.0-rc2, < 6.5.8.17 6.6.10.3, 6.7.0.0-rc2, 6.5.8.17
  5. Shopware vulnerable to Server Side Template Injection in Twig using Context functions
    Wysoka · 8.3 CVE-2024-42356 < 6.5.8.13, >= 6.6.0.0, < 6.6.5.1 6.5.8.13, 6.6.5.1
  6. Shopware vulnerable to Server Side Template Injection in Twig using deprecation silence tag
    Wysoka · 8.3 CVE-2024-42355 < 6.5.8.13, >= 6.6.0.0, < 6.6.5.1 6.5.8.13, 6.6.5.1
  7. Shopware's session is persistent in Cache for 404 pages
    Wysoka · 7.5 CVE-2024-27917 >= 6.5.8.0, < 6.5.8.7 6.5.8.7
  8. Blind SQL injection in shopware
    Krytyczna · 9.3 CVE-2024-22406 < 6.5.7.4 6.5.7.4
  9. Shopware Has Improper Control of Generation of Code in Twig rendered views
    Wysoka · 8.8 CVE-2023-2017 < 6.4.20.1 6.4.20.1
  10. Shopware has Improper Input Validation issue in newsletter subscription ten wpis
    Średnia · 4.3 CVE-2023-22734 < 6.4.18.1 6.4.18.1
  11. Shopware vulnerable to Improper Control of Generation of Code in Twig rendered views
    Krytyczna · 9.8 CVE-2023-22731 < 6.4.18.1 6.4.18.1
  12. Shopware database password is leaked to an unauthenticated users
    Wysoka · 7.5 CVE-2020-13997 >= 6.0.0, < 6.2.3 6.2.3
  13. Shopware vulnerable to SSRF
    Wysoka · 8.8 CVE-2020-13970 < 6.2.3 6.2.3
  14. Improper Access Control in Shopware
    Wysoka · 8.1 CVE-2022-24872 < 6.4.10.1 6.4.10.1
  15. Server-Side Request Forgery (SSRF) in Shopware
    Wysoka · 7.2 CVE-2022-24871 < 6.4.10.1 6.4.10.1
  16. Webcache Poisoning in shopware/platform and shopware/core
    Krytyczna ghsa-r64m-qchj-hrjp < 6.4.6.1 6.4.6.1
  17. Command injection in mail agent settings
    Wysoka · 8.8 CVE-2021-37708 < 6.4.3.1 6.4.3.1
  18. Cross-Site Scripting via SVG media files
    Wysoka · 8.0 CVE-2021-37710 < 6.4.3.1 6.4.3.1
  19. Authenticated server-side request forgery in file upload via URL.
    Wysoka · 8.8 CVE-2021-37711 < 6.4.3.1 6.4.3.1
  20. Exposure of Sensitive Information to an Unauthorized Actor
    Wysoka · 7.5 CVE-2021-32717 < 6.4.1.1 6.4.1.1
Pokaż więcej (3) Widać 20 z 23

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.