Heimdall Security Logo

CVE-2026-48010

Vulnérabilité moyenne dans shopware (shopware)

CVSS 6.5 · Moyenne
EPSS 0.5%
shopware•shopware•Versions : >= 6.7.0.0, < 6.7.10.1, < 6.6.10.18

Description

Shopware is an open commerce platform. Prior to 6.6.10.18 and 6.7.10.1, UserController::upsertUser() in src/Core/Framework/Api/Controller/UserController.php writes raw user data in SYSTEM_SCOPE without filtering the admin field, so a non-admin API user with user:create or user:update ACL permission can set admin: true on new or existing users; IntegrationController::upsertIntegration() contains an isAdmin() check for the same field, but UserController was missing this check. This issue is fixed in versions 6.6.10.18 and 6.7.10.1.

Gravité et risque d'exploitation

CVE-2026-48010 obtient un score CVSS de 6.5/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.47 %, ce qui la place devant 39.4 % des CVE référencées.

Que faire ?

  • Vérifiez si shopware (versions >= 6.7.0.0, < 6.7.10.1, < 6.6.10.18) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE