Zaloguj się
Deutsch English Español Polski
Niska

Shopware default newsletter opt-in settings allow for mass sign-up abuse

  • Ujawniono: 09.04.2025
  • Aktualizacja: 11.10.2026 10:22

Impact

Currently the default settings for double-opt-in allow for mass unsolicited newsletter sign-ups without confirmation.

Default settings are:

Newsletter: Double Opt-in - active

Newsletter: Double opt-in for registered customers - disabled

Log-in & sign-up: Double opt-in on sign-up - disabled

With these settings, anyone can register an account on the shop using any e-mail-address and then check the check-box in the account page to sign up for the newsletter. The recipient will receive two mails confirming registering and signing up for the newsletter, no confirmation link needed to be clicked for either. In the backend the recipient is set to “instantly active”.

Patches

Update to Shopware 6.6.10.3 or 6.5.8.17

Workarounds

For older versions of 6.4, corresponding security measures are also available via a plugin. For the full range of functions, we recommend updating to the latest Shopware version.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer shopware/core >= 6.6.0.0-rc1, < 6.6.10.3, >= 6.7.0.0-rc1, < 6.7.0.0-rc2, < 6.5.8.17 6.6.10.3, 6.7.0.0-rc2, 6.5.8.17
Paczka Composer shopware/platform >= 6.6.0.0-rc1, < 6.6.10.3, >= 6.7.0.0-rc1, < 6.7.0.0-rc2, < 6.5.8.17 6.6.10.3, 6.7.0.0-rc2, 6.5.8.17

Odnośniki

Ocena CVSS 5.3/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Słabość (CWE)
CWE-1188, CWE-799
Platforma
Composer
Paczka
shopware/core, shopware/platform
Ujawniono
09.04.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-4h9w-7vfp-px8m - CC BY 4.0

Historia podatności: shopware/core

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (65) w archiwum
Wszystkich wpisów
65
Pierwsza → ostatnia
09.2020 06.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 16
  • Średnia 31
  • Niska 13

Ujawnienia w latach

Istotność:
  1. Shopware vulnerable to a potential take over of app credentials
    Wysoka · 8.9 CVE-2026-31889 >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 6.7.8.1, 6.6.10.15
  2. Shopware: Unauthenticated data extraction possible through store-api.order endpoint
    Wysoka CVE-2026-31887 >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 6.7.8.1, 6.6.10.15
  3. Shopware Has Improper Control of Generation of Code in Twig rendered views
    Wysoka · 7.2 CVE-2026-23498 >= 6.7.0.0, < 6.7.6.1 6.7.6.1
  4. Shopware: Reflective Cross Site-Scripting (XSS) in CMS components
    Wysoka · 8.8 ghsa-9v82-vcjx-m76j >= 6.7.0.0, < 6.7.2.1 6.7.2.1
  5. Shopware default newsletter opt-in settings allow for mass sign-up abuse ten wpis
    Niska · 5.3 CVE-2025-32378 >= 6.6.0.0-rc1, < 6.6.10.3, >= 6.7.0.0-rc1, < 6.7.0.0-rc2, < 6.5.8.17 6.6.10.3, 6.7.0.0-rc2, 6.5.8.17
  6. Shopware Vulnerable to Blind SQL-injection in DAL aggregations
    Wysoka · 7.3 CVE-2025-27892 >= 6.7.0.0-rc1, < 6.7.0.0-rc2, >= 6.6.0.0, < 6.6.10.3, < 6.5.8.18 6.7.0.0-rc2, 6.6.10.3, 6.5.8.18
  7. Shopware allows Denial Of Service via password length
    Wysoka · 7.5 CVE-2025-30151 >= 6.6.0.0, < 6.6.10.3, >= 6.7.0.0-rc1, < 6.7.0.0-rc2, < 6.5.8.17 6.6.10.3, 6.7.0.0-rc2, 6.5.8.17
  8. Shopware vulnerable to Server Side Template Injection in Twig using Context functions
    Wysoka · 8.3 CVE-2024-42356 < 6.5.8.13, >= 6.6.0.0, < 6.6.5.1 6.5.8.13, 6.6.5.1
  9. Shopware vulnerable to Server Side Template Injection in Twig using deprecation silence tag
    Wysoka · 8.3 CVE-2024-42355 < 6.5.8.13, >= 6.6.0.0, < 6.6.5.1 6.5.8.13, 6.6.5.1
  10. Blind SQL injection in shopware
    Krytyczna · 9.3 CVE-2024-22406 < 6.5.7.4 6.5.7.4
  11. Shopware Has Improper Control of Generation of Code in Twig rendered views
    Wysoka · 8.8 CVE-2023-2017 < 6.4.20.1 6.4.20.1
  12. Shopware vulnerable to Improper Control of Generation of Code in Twig rendered views
    Krytyczna · 9.8 CVE-2023-22731 < 6.4.18.1 6.4.18.1
  13. Shopware database password is leaked to an unauthenticated users
    Wysoka · 7.5 CVE-2020-13997 >= 6.0.0, < 6.2.3 6.2.3
  14. Improper Access Control in Shopware
    Wysoka · 8.1 CVE-2022-24872 < 6.4.10.1 6.4.10.1
  15. Server-Side Request Forgery (SSRF) in Shopware
    Wysoka · 7.2 CVE-2022-24871 < 6.4.10.1 6.4.10.1
  16. Webcache Poisoning in shopware/platform and shopware/core
    Krytyczna ghsa-r64m-qchj-hrjp < 6.4.6.1 6.4.6.1
  17. Command injection in mail agent settings
    Wysoka · 8.8 CVE-2021-37708 < 6.4.3.1 6.4.3.1
  18. Cross-Site Scripting via SVG media files
    Wysoka · 8.0 CVE-2021-37710 < 6.4.3.1 6.4.3.1
  19. Authenticated server-side request forgery in file upload via URL.
    Wysoka · 8.8 CVE-2021-37711 < 6.4.3.1 6.4.3.1
  20. Exposure of Sensitive Information to an Unauthorized Actor
    Wysoka · 7.5 CVE-2021-32717 < 6.4.1.1 6.4.1.1
Pokaż więcej (2) Widać 20 z 22

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.