CVE-2026-23498: Shopware имеет некорректный контроль генерации кода в представлениях, отображаемых Twig

Обзор

Затронутые продукты

• shopware/shopware (версии: >= 6.7.0.0, < 6.7.6.1)
• shopware/core (версии: >= 6.7.0.0, < 6.7.6.1)

Классификация CWE

• CWE-94: Некорректный контроль генерации кода ('Внедрение кода')

Подробности

Влияние

Мы исправили с помощью CVE-2023-2017 Twig-фильтры, чтобы они выполнялись только с разрешёнными функциями. Однако произошёл регресс, который привёл к тому, что массив и созданное из массива PHP-замыкание не проверялись на соответствие списку разрешённых для переопределения map(...)

Исправления

Исправлено в 6.7.6.1

Обходные пути

Установите плагин безопасности

Ссылки

(https://github.com/advisories/GHSA-7v2v-9rm4-7m8f)

Ссылки

• https://github.com/shopware/shopware/security/advisories/GHSA-7cw6-7h3h-v8pf
• https://github.com/advisories/GHSA-7v2v-9rm4-7m8f
• https://nvd.nist.gov/vuln/detail/CVE-2026-23498
• https://github.com/shopware/shopware/commit/3966b05590e29432b8485ba47b4fcd14dd0b8475
• https://github.com/advisories/GHSA-7cw6-7h3h-v8pf

Отказ от ответственности

Этот CVE был раскрыт ответственно в соответствии с практикой скоординированного раскрытия уязвимостей. Приведённая здесь информация предназначена только для образовательных и защитных целей.