CVE-2026-104937

Nome do Software Vulnerável e Versões Afetadas Shopware versão 6.7

Descrição O Shopware permite o upload de arquivos HTML controlados por atacantes, que são servidos como text/html sem cabeçalhos de segurança eficazes, como Content-Security-Policy ou X-Content-Type-Options: nosniff. Isso resulta em cross-site scripting (XSS) armazenado quando um administrador visualiza o arquivo enviado, permitindo que o atacante exfiltre o token de autenticação do administrador. Esse token comprometido fornece acesso não autorizado à API de Administração do Shopware. Se a conta do administrador possuir privilégios de gerenciamento de extensões, um atacante pode fazer o upload, instalar e ativar plugins maliciosos para alcançar a execução de código PHP arbitrário no sistema operacional subjacente com os privilégios do processo Shopware. O ataque ocorre por meio da API de upload de mídia.

Recomendações Restrinja as permissões de upload de mídia apenas a usuários confiáveis. Configure uma regra de WAF para bloquear uploads de arquivos .html e .htm para o endpoint de mídia. Aplique a configuração X-Content-Type-Options: nosniff no nível do proxy reverso.