CVE-2026-23498: Shopware 在 Twig 渲染视图中对代码生成的控制不当

概述

受影响产品

• shopware/shopware （版本：>= 6.7.0.0, < 6.7.6.1）
• shopware/core （版本：>= 6.7.0.0, < 6.7.6.1）

CWE 分类

• CWE-94: 代码生成控制不当（'代码注入'）

详情

影响

我们在 CVE-2023-2017 中修复了 Twig 过滤器，使其仅允许执行通过验证的函数。但是存在一个回归，导致数组和精心构造的 PHP Closure 在 map(...) 重写时未针对允许列表进行检查。

补丁

已在 6.7.6.1 版本中修复。

临时解决方案

安装安全插件。

参考

(https://github.com/advisories/GHSA-7v2v-9rm4-7m8f)

参考

• https://github.com/shopware/shopware/security/advisories/GHSA-7cw6-7h3h-v8pf
• https://github.com/advisories/GHSA-7v2v-9rm4-7m8f
• https://nvd.nist.gov/vuln/detail/CVE-2026-23498
• https://github.com/shopware/shopware/commit/3966b05590e29432b8485ba47b4fcd14dd0b8475
• https://github.com/advisories/GHSA-7cw6-7h3h-v8pf

免责声明

此 CVE 已按照协调漏洞披露实践负责任地披露。此处提供的信息仅用于教育和防御目的。