CVE-2026-48015

Nome do Software Vulnerável e Versões Afetadas Shopware versões anteriores a 6.6.10.18 Shopware versões anteriores a 6.7.10.1

Description Arquivos SVG estão incluídos na lista de permissões allowed extensions em src/Core/Framework/Resources/config/packages/shopware.yaml, permitindo que sejam carregados via gerenciador de mídia. O pipeline de upload, que flui do MediaUploadController para o FileSaver e depois para o TypeDetector, não possui sanitização de conteúdo para arquivos SVG. Isso permite que um invasor carregue arquivos SVG maliciosos contendo JavaScript — como onload, <script> e <foreignObject> — que é executado no domínio do Shopware quando o arquivo é visualizado. Isso resulta em Cross-Site Scripting (XSS) armazenado, uma condição onde scripts maliciosos são armazenados permanentemente no servidor e servidos a outros usuários, podendo levar ao sequestro de contas de administrador ou roubo de dados de clientes.

Recommendations Atualize para a versão 6.6.10.18. Atualize para a versão 6.7.10.1. Como mitigação temporária, remova svg da lista allowed extensions em src/Core/Framework/Resources/config/packages/shopware.yaml para impedir o upload de arquivos SVG.