В Shopware 6.7 обнаружена уязвимость межсайтового скриптинга (XSS) с возможностью сохранения в системе в функции загрузки медиафайлов. Эта уязвимость позволяет злоумышленникам компрометировать учетные данные администратора и выполнять удаленное выполнение кода. Уязвимость возникает из-за того, что API загрузки медиафайлов принимает HTML-файлы, которые затем обслуживаются с типом text/html без надлежащих заголовков безопасности. Злоумышленник, имеющий привилегии на загрузку медиафайлов, может загрузить вредоносный HTML-файл, содержащий JavaScript. Если администратор получит доступ к медиафайлу, его токен аутентификации может быть украден. Этот украденный токен позволяет злоумышленнику получить несанкционированный доступ к API администрирования Shopware. Если скомпрометированный администратор имеет права на управление расширениями, злоумышленник может установить вредоносные плагины. Это может привести к произвольному выполнению PHP-кода на сервере. В настоящее время исправление от Shopware отсутствует. Пользователи могут снизить риск, ограничив доступ к загрузке медиафайлов или отключив загрузку HTML-файлов.