Zaloguj się
Deutsch English Español Polski
Średnia

Shopware 6's password recovery link does not expire after email change

  • Ujawniono: 14.11.2025
  • Aktualizacja: 11.10.2026 10:22

Summary

When a customer changes their email address after requesting a password reset, the old password reset link (tied to the previous email) remains valid. An attacker with access to the old email inbox is potentially able to reset the customer’s password even after the user changes their email address.

PoC

  1. Log in to a Shopware account.
  2. Request a password reset for your current email address.
  3. Copy the password reset link but do not open it.
  4. Log back into your account.n
  5. Navigate to Account Settings → Email and change your email address.
  6. Use the previously copied reset link (from before the email change).
  7. The system allows password change using the old link.

Impact

Reproduced on Stable 6.6.10.7 and trunk.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer shopware/core < 6.6.10.9, >= 6.7.0.0, < 6.7.4.1 6.6.10.9, 6.7.4.1

Odnośniki

Ocena CVSS 5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:H/A:L
Słabość (CWE)
CWE-640
Platforma
Composer
Paczka
shopware/core
Ujawniono
14.11.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-2w46-vq8h-98vh - CC BY 4.0

Historia podatności: shopware/core

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (65) w archiwum
Wszystkich wpisów
65
Pierwsza → ostatnia
09.2020 06.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 16
  • Średnia 31
  • Niska 13

Ujawnienia w latach

Istotność:
  1. Shopware vulnerable to a potential take over of app credentials
    Wysoka · 8.9 CVE-2026-31889 >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 6.7.8.1, 6.6.10.15
  2. Shopware: Unauthenticated data extraction possible through store-api.order endpoint
    Wysoka CVE-2026-31887 >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 6.7.8.1, 6.6.10.15
  3. Shopware Has Improper Control of Generation of Code in Twig rendered views
    Wysoka · 7.2 CVE-2026-23498 >= 6.7.0.0, < 6.7.6.1 6.7.6.1
  4. Shopware 6's password recovery link does not expire after email change ten wpis
    Średnia · 5.0 ghsa-2w46-vq8h-98vh < 6.6.10.9, >= 6.7.0.0, < 6.7.4.1 6.6.10.9, 6.7.4.1
  5. Shopware: Reflective Cross Site-Scripting (XSS) in CMS components
    Wysoka · 8.8 ghsa-9v82-vcjx-m76j >= 6.7.0.0, < 6.7.2.1 6.7.2.1
  6. Shopware Vulnerable to Blind SQL-injection in DAL aggregations
    Wysoka · 7.3 CVE-2025-27892 >= 6.7.0.0-rc1, < 6.7.0.0-rc2, >= 6.6.0.0, < 6.6.10.3, < 6.5.8.18 6.7.0.0-rc2, 6.6.10.3, 6.5.8.18
  7. Shopware allows Denial Of Service via password length
    Wysoka · 7.5 CVE-2025-30151 >= 6.6.0.0, < 6.6.10.3, >= 6.7.0.0-rc1, < 6.7.0.0-rc2, < 6.5.8.17 6.6.10.3, 6.7.0.0-rc2, 6.5.8.17
  8. Shopware vulnerable to Server Side Template Injection in Twig using Context functions
    Wysoka · 8.3 CVE-2024-42356 < 6.5.8.13, >= 6.6.0.0, < 6.6.5.1 6.5.8.13, 6.6.5.1
  9. Shopware vulnerable to Server Side Template Injection in Twig using deprecation silence tag
    Wysoka · 8.3 CVE-2024-42355 < 6.5.8.13, >= 6.6.0.0, < 6.6.5.1 6.5.8.13, 6.6.5.1
  10. Blind SQL injection in shopware
    Krytyczna · 9.3 CVE-2024-22406 < 6.5.7.4 6.5.7.4
  11. Shopware Has Improper Control of Generation of Code in Twig rendered views
    Wysoka · 8.8 CVE-2023-2017 < 6.4.20.1 6.4.20.1
  12. Shopware vulnerable to Improper Control of Generation of Code in Twig rendered views
    Krytyczna · 9.8 CVE-2023-22731 < 6.4.18.1 6.4.18.1
  13. Shopware database password is leaked to an unauthenticated users
    Wysoka · 7.5 CVE-2020-13997 >= 6.0.0, < 6.2.3 6.2.3
  14. Improper Access Control in Shopware
    Wysoka · 8.1 CVE-2022-24872 < 6.4.10.1 6.4.10.1
  15. Server-Side Request Forgery (SSRF) in Shopware
    Wysoka · 7.2 CVE-2022-24871 < 6.4.10.1 6.4.10.1
  16. Webcache Poisoning in shopware/platform and shopware/core
    Krytyczna ghsa-r64m-qchj-hrjp < 6.4.6.1 6.4.6.1
  17. Command injection in mail agent settings
    Wysoka · 8.8 CVE-2021-37708 < 6.4.3.1 6.4.3.1
  18. Cross-Site Scripting via SVG media files
    Wysoka · 8.0 CVE-2021-37710 < 6.4.3.1 6.4.3.1
  19. Authenticated server-side request forgery in file upload via URL.
    Wysoka · 8.8 CVE-2021-37711 < 6.4.3.1 6.4.3.1
  20. Exposure of Sensitive Information to an Unauthorized Actor
    Wysoka · 7.5 CVE-2021-32717 < 6.4.1.1 6.4.1.1
Pokaż więcej (2) Widać 20 z 22

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.