Shopware 6.7 には、メディアアップロード機能に保存型クロスサイトスクリプティング（XSS）の脆弱性があります。この欠陥により、攻撃者は管理者認証情報を侵害し、リモートコード実行を達成できます。この脆弱性は、メディアアップロードAPIがHTMLファイルを受け入れ、それらが適切なセキュリティヘッダーなしでtext/htmlとして提供されることに起因します。メディアアップロード権限を持つ攻撃者は、JavaScriptを含む悪意のあるHTMLファイルをアップロードできます。管理者がメディアファイルにアクセスすると、認証トークンが盗まれる可能性があります。この盗まれたトークンにより、攻撃者はShopware Administration APIへの不正アクセスが可能になります。侵害された管理者が拡張機能管理権限を持っている場合、攻撃者は悪意のあるプラグインをインストールできます。これにより、サーバー上で任意のPHPコードが実行される可能性があります。現在、Shopwareからパッチは提供されていません。ユーザーは、メディアアップロードへのアクセスを制限するか、HTMLファイルのアップロードを無効にすることでリスクを軽減できます。