Shopware: Unauthorized Payment Trigger for Foreign Orders via /store-api/handle-payment

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• shopware platform

  • < 6.6.10.18, >= 6.7.0.0, < 6.7.10.1затронута

• shopware shopware

  • < 6.6.10.18, >= 6.7.0.0, < 6.7.10.1затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2019-12799In createInstanceFromNamedArguments in Shopware through 5.6.x, a crafted web request can trigger a PHP object instantiation vulnerability, w
  51В плане
• CVE-2016-3109The backend/Login/load/ script in Shopware before 5.1.5 allows remote attackers to execute arbitrary code.
  47В плане
• CVE-2021-37708Command injection in mail agent settings
  40В плане
• CVE-2024-42357Shopware vulnerable to blind SQL-injection in DAL aggregations
  39Наблюдать
• CVE-2024-42355Shopware vulnerable to Server Side Template Injection in Twig using deprecation silence tag
  39Наблюдать
• CVE-2024-22406Blind SQL-injection in DAL aggregations in Shopware
  39Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.