CVE-2026-48016

Nome do Software Vulnerável e Versões Afetadas Shopware versões anteriores a 6.6.10.18 Shopware versões anteriores a 6.7.10.1

Description Uma falha de autorização no nível do objeto existe no endpoint da Store API '/store-api/handle-payment' nos arquivos HandlePaymentMethodRoute.php e PaymentProcessor.php. O endpoint aceita um orderId controlado pelo usuário e inicia o fluxo de pagamento sem verificar se o solicitante é o proprietário do pedido ou se completou a autenticação de pedido de convidado necessária. Enquanto a rota '/store-api/order' impõe a propriedade corretamente, este endpoint apenas verifica se o orderId existe. Um invasor com contexto de cliente normal ou convidado pode disparar fluxos de iniciação ou tentativa de pagamento para o pedido de outro usuário caso possua um orderId válido. Embora o orderId seja um UUID, ele é usado como um identificador de objeto de negócio em vários fluxos da loja e não deve ser tratado como um token de autorização secreto. Esta falha pode levar a tentativas de pagamento não autorizadas e comprometer a integridade dos fluxos de pedido e pagamento.

Recommendations Atualize o Shopware para a versão 6.6.10.18. Atualize o Shopware para a versão 6.7.10.1. Como medida paliativa temporária, restrinja o acesso ao endpoint '/store-api/handle-payment' para garantir que apenas usuários autorizados possam acessá-lo.