Zaloguj się
Deutsch English Español Polski
Średnia

Shopware race condition bypasses voucher restrictions

  • Ujawniono: 06.08.2025
  • Aktualizacja: 11.10.2026 10:22

A race condition vulnerability has been identified in Shopware's voucher system of Shopware v6.6.10.4 that allows attackers to bypass intended voucher restrictions and exceed usage limitations.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer shopware/platform <= 6.6.10.4 brak poprawki

Odnośniki

Ocena CVSS -
Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
Słabość (CWE)
CWE-362
Platforma
Composer
Paczka
shopware/platform
Ujawniono
06.08.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-27gv-mg7w-mm34 - CC BY 4.0

Historia podatności: shopware/platform

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (70) w archiwum
Wszystkich wpisów
70
Pierwsza → ostatnia
09.2020 06.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 6
  • Wysoka 16
  • Średnia 33
  • Niska 15

Ujawnienia w latach

Istotność:
  1. Shopware vulnerable to a potential take over of app credentials
    Wysoka · 8.9 CVE-2026-31889 >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 6.7.8.1, 6.6.10.15
  2. Shopware: Unauthenticated data extraction possible through store-api.order endpoint
    Wysoka CVE-2026-31887 >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 6.7.8.1, 6.6.10.15
  3. Shopware race condition bypasses voucher restrictions ten wpis
    Średnia CVE-2025-7954 <= 6.6.10.4 brak poprawki
  4. Shopware Vulnerable to Blind SQL-injection in DAL aggregations
    Wysoka · 7.3 CVE-2025-27892 >= 6.7.0.0-rc1, < 6.7.0.0-rc2, >= 6.6.0.0, < 6.6.10.3, < 6.5.8.18 6.7.0.0-rc2, 6.6.10.3, 6.5.8.18
  5. Shopware allows Denial Of Service via password length
    Wysoka · 7.5 CVE-2025-30151 >= 6.6.0.0, < 6.6.10.3, >= 6.7.0.0-rc1, < 6.7.0.0-rc2, < 6.5.8.17 6.6.10.3, 6.7.0.0-rc2, 6.5.8.17
  6. Shopware vulnerable to Server Side Template Injection in Twig using Context functions
    Wysoka · 8.3 CVE-2024-42356 < 6.5.8.13, >= 6.6.0.0, < 6.6.5.1 6.5.8.13, 6.6.5.1
  7. Shopware vulnerable to Server Side Template Injection in Twig using deprecation silence tag
    Wysoka · 8.3 CVE-2024-42355 < 6.5.8.13, >= 6.6.0.0, < 6.6.5.1 6.5.8.13, 6.6.5.1
  8. Shopware's session is persistent in Cache for 404 pages
    Wysoka · 7.5 CVE-2024-27917 >= 6.5.8.0, < 6.5.8.7 6.5.8.7
  9. Blind SQL injection in shopware
    Krytyczna · 9.3 CVE-2024-22406 < 6.5.7.4 6.5.7.4
  10. Shopware Has Improper Control of Generation of Code in Twig rendered views
    Wysoka · 8.8 CVE-2023-2017 < 6.4.20.1 6.4.20.1
  11. Shopware vulnerable to Improper Control of Generation of Code in Twig rendered views
    Krytyczna · 9.8 CVE-2023-22731 < 6.4.18.1 6.4.18.1
  12. Shopware database password is leaked to an unauthenticated users
    Wysoka · 7.5 CVE-2020-13997 >= 6.0.0, < 6.2.3 6.2.3
  13. Shopware vulnerable to SSRF
    Wysoka · 8.8 CVE-2020-13970 < 6.2.3 6.2.3
  14. Improper Access Control in Shopware
    Wysoka · 8.1 CVE-2022-24872 < 6.4.10.1 6.4.10.1
  15. Server-Side Request Forgery (SSRF) in Shopware
    Wysoka · 7.2 CVE-2022-24871 < 6.4.10.1 6.4.10.1
  16. Webcache Poisoning in shopware/platform and shopware/core
    Krytyczna ghsa-r64m-qchj-hrjp < 6.4.6.1 6.4.6.1
  17. Command injection in mail agent settings
    Wysoka · 8.8 CVE-2021-37708 < 6.4.3.1 6.4.3.1
  18. Cross-Site Scripting via SVG media files
    Wysoka · 8.0 CVE-2021-37710 < 6.4.3.1 6.4.3.1
  19. Authenticated server-side request forgery in file upload via URL.
    Wysoka · 8.8 CVE-2021-37711 < 6.4.3.1 6.4.3.1
  20. Exposure of Sensitive Information to an Unauthorized Actor
    Wysoka · 7.5 CVE-2021-32717 < 6.4.1.1 6.4.1.1
  21. After order payment process manipulation in shopware/platform and shopware/core
    Krytyczna ghsa-88rc-3p98-rgvx < 6.3.5.3 6.3.5.3
  22. Leak of information via Store-API aggregations in shopware/platform and shopware/core
    Krytyczna ghsa-qg7c-q3vq-rgxr < 6.3.5.3 6.3.5.3
  23. Exposure of Sensitive Information to an Unauthorized Actor
    Krytyczna · 9.1 CVE-2021-32711 < 6.3.5.1 6.3.5.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.