CVE-2026-23498: Shopware의 Twig 렌더링 뷰에서 코드 생성 제어 미흡

개요

영향을 받는 제품

• shopware/shopware (버전: >= 6.7.0.0, < 6.7.6.1)
• shopware/core (버전: >= 6.7.0.0, < 6.7.6.1)

CWE 분류

• CWE-94: 코드 생성 제어 불량 ('코드 인젝션')

세부 정보

영향

CVE-2023-2017에서 Twig 필터가 허용된 함수로만 실행되도록 수정했습니다. 그러나 회귀(regression)가 발생하여 배열 및 배열로 구성된 PHP Closure가 map(...) 재정의에 대한 허용 목록(allow list) 검사를 받지 못하는 문제가 발생했습니다.

패치

6.7.6.1에서 패치됨

해결 방법

보안 플러그인을 설치하세요

참고 자료

(https://github.com/advisories/GHSA-7v2v-9rm4-7m8f)

참고 자료

• https://github.com/shopware/shopware/security/advisories/GHSA-7cw6-7h3h-v8pf
• https://github.com/advisories/GHSA-7v2v-9rm4-7m8f
• https://nvd.nist.gov/vuln/detail/CVE-2026-23498
• https://github.com/shopware/shopware/commit/3966b05590e29432b8485ba47b4fcd14dd0b8475
• https://github.com/advisories/GHSA-7cw6-7h3h-v8pf

고지 사항

이 CVE는 조정된 취약점 공개 절차에 따라 책임 있게 공개되었습니다. 여기에 제공된 정보는 교육 및 방어 목적으로만 사용됩니다.