Shopware 6.7에는 미디어 업로드 기능에 저장된 크로스 사이트 스크립팅(XSS) 취약점이 있습니다. 이 결함은 공격자가 관리자 자격 증명을 손상시키고 원격 코드 실행을 달성할 수 있도록 합니다. 이 취약점은 미디어 업로드 API가 HTML 파일을 수락하고, 해당 파일이 적절한 보안 헤더 없이 text/html로 제공된다는 점에서 발생합니다. 미디어 업로드 권한이 있는 공격자는 JavaScript가 포함된 악성 HTML 파일을 업로드할 수 있습니다. 관리자가 미디어 파일에 액세스하면 인증 토큰이 도난당할 수 있습니다. 이 도난당한 토큰은 공격자에게 Shopware 관리 API에 대한 무단 액세스를 허용합니다. 손상된 관리자가 확장 프로그램 관리 권한을 가지고 있다면, 공격자는 악성 플러그인을 설치할 수 있습니다. 이는 서버에서 임의의 PHP 코드 실행으로 이어질 수 있습니다. 현재 Shopware에서 패치는 제공되지 않습니다. 사용자는 미디어 업로드 액세스를 제한하거나 HTML 파일 업로드를 비활성화하여 위험을 완화할 수 있습니다.