CVE-2026-23498: Shopware hat eine unsachgemäße Kontrolle der Codegenerierung in Twig-gerenderten Ansichten

Übersicht

Betroffene Produkte

• shopware/shopware (Versionen: >= 6.7.0.0, < 6.7.6.1)
• shopware/core (Versionen: >= 6.7.0.0, < 6.7.6.1)

CWE-Klassifizierung

• CWE-94: Unsachgemäße Kontrolle der Codegenerierung ('Code Injection')

Details

Auswirkungen

Wir haben mit CVE-2023-2017 Twig-Filter behoben, sodass sie nur mit erlaubten Funktionen ausgeführt werden. Allerdings gab es eine Regression, die dazu führte, dass ein Array und ein Array-konstruierter PHP-Closure nicht gegen die Zulassungsliste für den map(...)-Override geprüft wurden.

Patches

In 6.7.6.1 gepatcht

Workarounds

Das Sicherheits-Plugin installieren

Referenzen

(https://github.com/advisories/GHSA-7v2v-9rm4-7m8f)

Referenzen

• https://github.com/shopware/shopware/security/advisories/GHSA-7cw6-7h3h-v8pf
• https://github.com/advisories/GHSA-7v2v-9rm4-7m8f
• https://nvd.nist.gov/vuln/detail/CVE-2026-23498
• https://github.com/shopware/shopware/commit/3966b05590e29432b8485ba47b4fcd14dd0b8475
• https://github.com/advisories/GHSA-7cw6-7h3h-v8pf

Haftungsausschluss

Diese CVE wurde im Rahmen koordinierter Offenlegungspraktiken verantwortungsvoll gemeldet. Die hier bereitgestellten Informationen dienen ausschließlich Bildungs- und Verteidigungszwecken.