PT-2024-29893 · Shopware · Shopware

Pweyck · Publicado 2024-08-08 · Atualizado 2025-04-15 · CVE-2024-42357

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Shopware anteriores à 6.6.5.1

Versões do Shopware anteriores à 6.5.8.13

Descrição

A API da aplicação Shopware contém uma funcionalidade de pesquisa que permite aos usuários pesquisar informações armazenadas em sua instância do Shopware. As pesquisas realizadas por essa função podem ser agregadas usando os parâmetros no objeto aggregations. O campo name nesse objeto aggregations é vulnerável a injeção de SQL e pode ser explorado usando parâmetros SQL.

Recomendações

Atualize para o Shopware 6.6.5.1 ou 6.5.8.13 para receber um patch.

Para versões mais antigas, como 6.1, 6.2, 6.3 e 6.4, medidas de segurança correspondentes também estão disponíveis por meio de um plugin.

Como solução temporária, considere restringir o acesso ao objeto aggregations até que um patch esteja disponível.

Evite usar o campo name no objeto aggregations até que o problema seja resolvido.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-42357

GHSA-P6W9-R443-R752

Produtos afetados

Shopware

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/42xxx/CVE-2024-42357.json · Exploit
• https://github.com/shopware/shopware · Nota
• https://github.com/shopware/shopware/commit/8504ba7e56e53add6a1d5b9d45015e3d899cd0ac · Correção
• https://github.com/shopware/shopware/security/advisories/GHSA-p6w9-r443-r752 · Aviso do Fabricante
• https://github.com/shopware/shopware/commit/57ea2f3c59483cf7c0f853e7a0d68c23ded1fe5b · Correção
• https://github.com/shopware/core/commit/a784aa1cec0624e36e0ee4d41aeebaed40e0442f · Correção
• https://github.com/shopware/core/commit/63c05615694790f5790a04ef889f42b764fa53c9 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-42357 · Nota de Segurança
• https://t.me/cvedetector/2792 · Publicação no Telegram
• https://t.me/secharvester/18681 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-p6w9-r443-r752 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-42357 · Aviso do Fabricante
• https://t.me/cvedetector/23032 · Publicação no Telegram
• https://twitter.com/cracbot/status/1823238125679939681 · Publicação no Twitter
• https://t.me/cvenotify/90112 · Publicação no Telegram