CVE-2026-48010

Nome do Software Vulnerável e Versões Afetadas Shopware versões anteriores a 6.6.10.18 Shopware versões anteriores a 6.7.10.1

Description Na função UserController::upsertUser() em src/Core/Framework/Api/Controller/UserController.php, dados brutos do usuário são gravados em SYSTEM SCOPE sem a filtragem do campo admin. Isso permite que um usuário de API não administrador, com permissões de ACL user:create ou user:update, defina a variável admin como true para novos usuários ou usuários existentes, resultando em uma escalada de privilégios para acesso total de administrador. Isso ocorre porque o SYSTEM SCOPE ignora o AclWriteValidator, e o UserController não possui a verificação isAdmin() presente na função IntegrationController::upsertIntegration().

Recommendations Atualize o Shopware para a versão 6.6.10.18 ou superior. Atualize o Shopware para a versão 6.7.10.1 ou superior.