Shopware 6.7 的媒体上传功能存在存储型跨站脚本（XSS）漏洞。该缺陷允许攻击者窃取管理员凭据并实现远程代码执行。该漏洞源于媒体上传 API 接受 HTML 文件，并在未设置适当安全头部的情况下将其作为 text/html 类型提供。拥有媒体上传权限的攻击者可上传包含 JavaScript 的恶意 HTML 文件。若管理员访问该媒体文件，其身份验证令牌可能被窃取。该被盗令牌使攻击者能够未经授权访问 Shopware 管理 API。若被攻破的管理员拥有扩展管理权限，攻击者即可安装恶意插件，从而导致在服务器上执行任意 PHP 代码。目前 Shopware 尚未发布补丁。用户可通过限制媒体上传访问权限或禁用 HTML 文件上传来缓解此风险。