Shopware: Unauthenticated data extraction possible through store-api.order endpoint
Summary
An insufficient check on the filter types for unauthenticated customers allows access to orders of other customers. This is part of the deepLinkCode support on the store-api.order endpoint.
Details
Data Exposure
Depending on the order payload configuration, attackers may retrieve:
- Customer names
- Billing address
- Shipping address
- Email addresses
- Ordered products
- Order values
- Order numbers
- Order dates
- Payment method information
- Shipping method information
- More customs, depending on the given associations in the request
Security Impact
This vulnerability allows:
- Unauthorized access to foreign customer order data
- Mass enumeration of recent orders
- Potential scraping of customer personal information
Limitation
No limitation, but only orders from the past 30 days are checked for changeable means of payment (unrelated).
Impact
The code is present since ~2021. Likely every version since then is impacted for every store.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Composer-Paket | shopware/core | >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 | 6.7.8.1, 6.6.10.15 |
| Composer-Paket | shopware/platform | >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 | 6.7.8.1, 6.6.10.15 |
Verweise
- CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N- Schwäche (CWE)
CWE-863- Plattform
- Composer
- Paket
shopware/core, shopware/platform- Veröffentlicht
- 11.03.2026
- Aktualisiert
- 11.10.2026 10:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-7vvp-j573-5584 - CC BY 4.0
Schwachstellenhistorie: shopware/platform
Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 70
- Erste → letzte
- 09.2020 06.2026
- Ohne Fix
- 1
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 6
- Hoch 16
- Mittel 33
- Niedrig 15
Veröffentlichungen pro Jahr
- 2020: 7
- 2021: 17
- 2022: 9
- 2023: 6
- 2024: 8
- 2025: 11
- 2026: 12
-
Shopware: Unauthenticated data extraction possible through store-api.order endpoint dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.