CVE-2023-22733
Vulnérabilité faible dans platform (shopware)
Description
Shopware is an open source commerce platform based on Symfony Framework and Vue js. In affected versions the log module would write out all kind of sent mails. An attacker with access to either the local system logs or a centralized logging store may have access to other users accounts. This issue has been addressed in version 6.4.18.1. For older versions of 6.1, 6.2, and 6.3, corresponding security measures are also available via a plugin. For the full range of functions, we recommend updating to the latest Shopware version. Users unable to upgrade may remove from all users the log module ACL rights or disable logging.
Gravité et risque d'exploitation
CVE-2023-22733 obtient un score CVSS de 2.7/10, soit une gravité faible. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.70 %, ce qui la place devant 52.5 % des CVE référencées.
Que faire ?
- Vérifiez si platform (versions < 6.4.18.1) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/shopware/platform/security/advisories/GHSA-7cp7-jfp6-jh4f
- https://github.com/shopware/platform/commit/407a83063d7141c1a626441799c3ebef79498c07
- https://developer.shopware.com/docs/guides/hosting/performance/performance-tweaks#logging
- https://docs.shopware.com/en/shopware-6-en/security-updates/security-update-01-2023?category=security-updates