CVE-2026-48008

Nome do Software Vulnerável e Versões Afetadas Shopware versões anteriores a 6.6.10.18 Shopware versões anteriores a 6.7.10.1

Description Um usuário de API não administrador com privilégio de ACL integration:create pode escalar seus privilégios para administrador total. Isso é possível ao criar uma integração com a variável admin definida como true através do endpoint da Sync API POST /api/ action/sync. Embora o endpoint de integração padrão POST /api/integration bloqueie essa ação, a Sync API ignora essa verificação ao rotear as gravações através do SyncService para EntityWriter::upsert(). O problema decorre do fato de o arquivo IntegrationDefinition.php carecer de WriteProtection no campo admin, permitindo que a Sync API grave nele sem restrições. Um invasor que consiga essa escalação obtém acesso total à API de administrador, permitindo a exfiltração de informações de identificação pessoal (PII) e a criação de um backdoor persistente.

Recommendations Atualize para a versão 6.6.10.18. Atualize para a versão 6.7.10.1.