PT-2025-15708 · Shopware · Shopware

Lowshyim · Publicado 2025-04-09 · Atualizado 2025-04-09 · CVE-2025-32378

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Shopware anteriores a 6.6.10.3 Versões do Shopware anteriores a 6.5.8.17

Descrição: O problema diz respeito às configurações padrão de double-opt-in no Shopware, o que permite inscrições em massa não solicitadas na newsletter sem confirmação. Especificamente, com as configurações padrão de Newsletter: Double Opt-in definidas como ativas, Newsletter: Double opt-in for registered customers definidas como desativadas e Log-in & sign-up: Double opt-in on sign-up definidas como desativadas, qualquer pessoa pode registrar uma conta e se inscrever na newsletter sem precisar confirmar via um link. O destinatário recebe e-mails de confirmação, mas é definido como "instantaneamente ativo" no backend.

Recomendações: Para versões anteriores a 6.6.10.3, atualize para a versão 6.6.10.3 ou posterior. Para versões anteriores a 6.5.8.17, atualize para a versão 6.5.8.17 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-799

CWE-1188

Identificadores relacionados

CVE-2025-32378

GHSA-4H9W-7VFP-PX8M

Produtos afetados

Shopware

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/32xxx/CVE-2025-32378.json · Exploit
• https://github.com/shopware/shopware · Nota
• https://github.com/shopware/shopware/security/advisories/GHSA-4h9w-7vfp-px8m · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-32378 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-4h9w-7vfp-px8m · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-32378 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1910073452096036915 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1910027162528186388 · Publicação no Twitter