PT-2021-19874 · Shopware · Shopware

Lowshyim · Publicado 2021-06-24 · Atualizado 2021-07-01 · CVE-2021-32709

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.9

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Shopware anteriores à 6.4.1.1

Descrição

O problema diz respeito à criação de créditos de pedidos que não são validados pela Lista de Controle de Acesso (ACL) na área de administração de pedidos. Isso poderia potencialmente permitir ações não autorizadas. Recomenda-se atualizar para a versão atual para resolver esse problema. Para versões mais antigas, medidas de segurança estão disponíveis por meio de um plugin.

Recomendações

Para as versões 6.1, 6.2 e 6.3, instale o plugin de segurança correspondente para mitigar o risco.

Atualize para a versão 6.4.1.1 para resolver totalmente o problema.

Correção

Missing Authentication

Enumeração de Fraquezas

CWE-306

Identificadores relacionados

CVE-2021-32709

GHSA-G7W8-PP9W-7P32

GHSA-P696-GF58-9W97

Produtos afetados

Shopware

Referências · 9

• https://github.com/shopware/platform/security/advisories/GHSA-g7w8-pp9w-7p32 · Nota
• https://github.com/shopware/platform · Nota
• https://shopware.com/en/changelog/#6-4-1-1 · Nota
• https://osv.dev/vulnerability/GHSA-p696-gf58-9w97 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-32709 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-32709 · Nota de Segurança
• https://store.shopware.com/en/detail/index/sArticle/518463/number/Swag136939272659 · Nota
• https://osv.dev/vulnerability/GHSA-g7w8-pp9w-7p32 · Aviso do Fabricante
• https://shopware.com/en/download/#shopware-6 · Nota