CVE-2024-42356

Versões do Shopware anteriores à 6.5.8.13

Versões do Shopware anteriores à 6.6.5.1

O problema diz respeito à variável context injetada em praticamente qualquer modelo Twig, permitindo o acesso às informações atuais de idioma e moeda. O objeto context pode alterar o escopo do Context como um helper com uma função chamável, que pode ser chamada a partir do Twig. Isso permite chamar qualquer função/método PHP estaticamente chamável a partir do Twig. A exploração requer acesso à Administração, utilizando modelos de e-mail ou scripts de aplicativos.

Atualize para o Shopware 6.5.8.13 para receber um patch.

Atualize para o Shopware 6.6.5.1 para receber um patch.

Para versões mais antigas, como 6.1, 6.2, 6.3 e 6.4, medidas de segurança correspondentes estão disponíveis por meio de um plugin.