PT-2022-16944 · Shopware · Shopware

Nils Evers · Publicado 2022-04-20 · Atualizado 2022-05-03 · CVE-2022-24872

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do Shopware anteriores à 6.4.10.1

Descrição

O problema diz respeito às permissões definidas no contexto do canal de vendas pela admin-api, que permanecem ativas durante uma sessão normal de usuário. Isso afeta o Shopware, uma plataforma de comércio aberta baseada no Symfony Framework e no Vue. Não há soluções alternativas conhecidas para este problema.

Recomendações

Para as versões 6.1, 6.2 e 6.3, instale o plugin de segurança correspondente para resolver o problema.

Para todas as versões afetadas, atualize para a versão 6.4.10.1 para resolver o problema. A atualização pode ser obtida regularmente através do Auto-Updater ou diretamente na página de downloads.

Exploit

Correção

Incorrect Permission

Enumeração de Fraquezas

CWE-732

Identificadores relacionados

CVE-2022-24872

GHSA-9WRV-G75H-8CCC

Produtos afetados

Shopware

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24872.json · Exploit
• https://github.com/shopware/platform · Nota
• https://github.com/shopware/platform/commit/083765e2d64a00315050c4891800c9e98ba0c77c · Correção
• https://github.com/shopware/platform/security/advisories/GHSA-9wrv-g75h-8ccc · Nota
• https://docs.shopware.com/en/shopware-6-en/security-updates/security-update-04-2022 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-24872 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-24872 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9wrv-g75h-8ccc · Aviso do Fabricante
• https://t.me/cvenotify/29245 · Publicação no Telegram