CVE-2026-23498: Shopware لديه تحكم غير سليم في توليد الكود في العروض المُصيّرة بـ Twig

نظرة عامة

المنتجات المتأثرة

• shopware/shopware (الإصدارات: >= 6.7.0.0, < 6.7.6.1)
• shopware/core (الإصدارات: >= 6.7.0.0, < 6.7.6.1)

تصنيف CWE

• CWE-94: التحكم غير السليم في توليد الكود ('حقن الكود')

التفاصيل

التأثير

لقد أصلحنا مع CVE-2023-2017 عوامل تصفية Twig لتعمل فقط مع الدوال المسموح بها. ومع ذلك، حدثت انتكاسة أدت إلى عدم فحص PHP Closure المُعدّة كصفيف وصفيف مقابل القائمة المسموح بها لتجاوز map(...)

التصحيحات

تم التصحيح في 6.7.6.1

الحلول البديلة

قم بتثبيت المكوّن الإضافي الأمني

المراجع

(https://github.com/advisories/GHSA-7v2v-9rm4-7m8f)

المراجع

• https://github.com/shopware/shopware/security/advisories/GHSA-7cw6-7h3h-v8pf
• https://github.com/advisories/GHSA-7v2v-9rm4-7m8f
• https://nvd.nist.gov/vuln/detail/CVE-2026-23498
• https://github.com/shopware/shopware/commit/3966b05590e29432b8485ba47b4fcd14dd0b8475
• https://github.com/advisories/GHSA-7cw6-7h3h-v8pf

إخلاء مسؤولية

تم الإبلاغ عن هذا CVE بشكل مسؤول باتباع ممارسات الإفصاح المنسق عن الثغرات الأمنية. المعلومات الواردة هنا مقدمة للأغراض التعليمية والدفاعية فقط.