PT-2021-23161 · Shopware · Shopware

Publicado

2021-10-26

·

Atualizado

2021-10-28

·

CVE-2021-41188

CVSS v3.1

5.7

Média

VetorAV:N/AC:L/PR:L/UI:R/S:U/C:N/I:H/A:N
Nome do software vulnerável e versões afetadas
Versões do Shopware anteriores à 5.7.6
Descrição
O Shopware é um software de comércio eletrônico de código aberto que apresenta uma vulnerabilidade de cross-site scripting. Essa vulnerabilidade foi corrigida na versão 5.7.6. Existem duas soluções alternativas disponíveis para proteção contra cross-site scripting: usar o plugin de segurança ou adicionar uma configuração específica ao arquivo .htaccess para quem usa o Apache, e uma configuração para quem usa o nginx como servidor. O plugin e as configurações podem ser encontrados na página de Alerta de Segurança do GitHub para esta vulnerabilidade.
Recomendações
Para versões anteriores à 5.7.6, atualize para a versão 5.7.6 para resolver a vulnerabilidade.
Como solução alternativa temporária, considere usar o plugin de segurança para se proteger contra scripts entre sites.
Como alternativa, adicione a seguinte configuração ao seu arquivo .htaccess para se proteger contra scripts entre sites:

<IfModule mod headers.c>

  <FilesMatch “.(?i:svg)$”>

    Header set Content-Security-Policy “script-src ‘none’”

  </FilesMatch>

</IfModule>
Para aqueles que usam o nginx como servidor, adicione o seguinte à sua configuração:

server {

  # ...

  

  location ~* ^.+.svg$ {

    add header Content-Security-Policy “script-src ‘none’”;

  }

}

Correção

XSS

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-41188
GHSA-4P3X-8QW9-24W9

Produtos afetados

Shopware