CVE-2026-48011

Nome do Software Vulnerável e Versões Afetadas Shopware versões anteriores a 6.6.10.18 Shopware versões anteriores a 6.7.10.1

Description Um invasor pode enumerar nomes de usuário de administradores realizando um ataque de temporização (timing attack). Isso ocorre porque a função getUserEntityByUserCredentials() no endpoint api/oauth/token processa as solicitações de forma diferente dependendo se um nome de usuário existe. Se o nome de usuário não for encontrado, o sistema retorna uma resposta imediatamente. No entanto, se o nome de usuário for encontrado, o sistema executa a função password verify(), que utiliza o algoritmo de hashing Argon2id. O Argon2id é intencionalmente lento para evitar ataques de força bruta, criando uma diferença mensurável no tempo de resposta entre usuários existentes e inexistentes.

Recommendations Atualize para a versão 6.6.10.18. Atualize para a versão 6.7.10.1.