CVE-2026-48013
CVE-2026-48013 · Shopware: SSRF in Media External-Link Endpoint Bypasses IP Validation
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Shopware is an open commerce platform. Prior to 6.6.10.18 and 6.7.10.1, the `/api/_action/media/external-link` endpoint allows authenticated admin users to make server-side HTTP HEAD requests to arbitrary internal IP addresses. While the parallel `uploadFromURL` flow validates target IPs against private/reserved ranges via `FileUrlValidator`, the `linkURL` flow only performs a URL format check (regex for `http://` or `https://` prefix), allowing SSRF to internal network services and cloud metadata endpoints. This issue is fixed in versions 6.6.10.18 and 6.7.10.1.
CVSS 4.1 · Средний · EPSS 0,4% · Есть исправление
- Опубликовано
- Обновлено
Стек: php
Затронутые продукты и версии
shopware
- Версии
- < 6.6.10.18: Затронуто
- >= 6.7.0.0, < 6.7.10.1: Затронуто
Нет опубликованного исправления
platform
- Версии
- < 6.6.10.18: Затронуто
- >= 6.7.0.0, < 6.7.10.1: Затронуто
Нет опубликованного исправления
shopware/core Packagist
- Версии
- v6.7.0.0
- v6.7.0.1
- v6.7.1.0
- v6.7.1.1
- v6.7.1.2
- v6.7.10.0
- v6.7.2.0
- v6.7.2.1
- v6.7.2.2
- v6.7.3.0
- v6.7.3.1
- v6.7.4.0
- v6.7.4.1
- v6.7.4.2
- v6.7.5.0
- v6.7.5.1
- v6.7.6.0
- v6.7.6.1
- v6.7.6.2
- v6.7.7.0
- v6.7.7.1
- v6.7.8.0
- v6.7.8.1
- v6.7.8.2
- v6.7.9.0
- v6.7.9.1
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 6.7.0.0, < 6.7.10.1
Обновитесь до 6.7.10.1
shopware/platform Packagist
- Версии
- v6.7.0.0
- v6.7.0.1
- v6.7.1.0
- v6.7.1.1
- v6.7.1.2
- v6.7.10.0
- v6.7.2.0
- v6.7.2.1
- v6.7.2.2
- v6.7.3.0
- v6.7.3.1
- v6.7.4.0
- v6.7.4.1
- v6.7.4.2
- v6.7.5.0
- v6.7.5.1
- v6.7.6.0
- v6.7.6.1
- v6.7.6.2
- v6.7.7.0
- v6.7.7.1
- v6.7.8.0
- v6.7.8.1
- v6.7.8.2
- v6.7.9.0
- v6.7.9.1
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 6.7.0.0, < 6.7.10.1
Обновитесь до 6.7.10.1