Zaloguj się
Deutsch English Español Polski
Niska

Information exposure via query strings in URL

  • Ujawniono: 21.12.2020
  • Aktualizacja: 11.10.2026 10:22

Impact

Information exposure via query strings in URL

Patches

We recommend to update to the current version 6.3.4.1. You can get the update to 6.3.4.1 regularly via the Auto-Updater or directly via the download overview.

https://www.shopware.com/en/download/#shopware-6

Workarounds

For older versions of 6.1 and 6.2 the corresponding changes are also available via plugin:

https://store.shopware.com/en/detail/index/sArticle/518463/number/Swag136939272659

For more information

https://docs.shopware.com/en/shopware-6-en/security-updates/security-update-12-2020

Credits

We would like to thank <a rel="noopener" href="https://www.vater-it.de/">Oliver Herrmann</a> for reporting this issue.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer shopware/core < 6.3.4.1 6.3.4.1
Paczka Composer shopware/platform < 6.3.4.1 6.3.4.1

Odnośniki

Ocena CVSS -
Słabość (CWE)
CWE-200
Platforma
Composer
Paczka
shopware/core, shopware/platform
Ujawniono
21.12.2020
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-cq6h-w3mc-57f4 - CC BY 4.0

Historia podatności: shopware/core

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (65) w archiwum
Wszystkich wpisów
65
Pierwsza → ostatnia
09.2020 06.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 16
  • Średnia 31
  • Niska 13

Ujawnienia w latach

Istotność:
  1. Information exposure via query strings in URL ten wpis
    Niska ghsa-cq6h-w3mc-57f4 < 6.3.4.1 6.3.4.1
  2. Shopware vulnerable to a potential take over of app credentials
    Wysoka · 8.9 CVE-2026-31889 >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 6.7.8.1, 6.6.10.15
  3. Shopware: Unauthenticated data extraction possible through store-api.order endpoint
    Wysoka CVE-2026-31887 >= 6.7.0.0, < 6.7.8.1, < 6.6.10.15 6.7.8.1, 6.6.10.15
  4. Shopware Has Improper Control of Generation of Code in Twig rendered views
    Wysoka · 7.2 CVE-2026-23498 >= 6.7.0.0, < 6.7.6.1 6.7.6.1
  5. Shopware: Reflective Cross Site-Scripting (XSS) in CMS components
    Wysoka · 8.8 ghsa-9v82-vcjx-m76j >= 6.7.0.0, < 6.7.2.1 6.7.2.1
  6. Shopware Vulnerable to Blind SQL-injection in DAL aggregations
    Wysoka · 7.3 CVE-2025-27892 >= 6.7.0.0-rc1, < 6.7.0.0-rc2, >= 6.6.0.0, < 6.6.10.3, < 6.5.8.18 6.7.0.0-rc2, 6.6.10.3, 6.5.8.18
  7. Shopware allows Denial Of Service via password length
    Wysoka · 7.5 CVE-2025-30151 >= 6.6.0.0, < 6.6.10.3, >= 6.7.0.0-rc1, < 6.7.0.0-rc2, < 6.5.8.17 6.6.10.3, 6.7.0.0-rc2, 6.5.8.17
  8. Shopware vulnerable to Server Side Template Injection in Twig using Context functions
    Wysoka · 8.3 CVE-2024-42356 < 6.5.8.13, >= 6.6.0.0, < 6.6.5.1 6.5.8.13, 6.6.5.1
  9. Shopware vulnerable to Server Side Template Injection in Twig using deprecation silence tag
    Wysoka · 8.3 CVE-2024-42355 < 6.5.8.13, >= 6.6.0.0, < 6.6.5.1 6.5.8.13, 6.6.5.1
  10. Blind SQL injection in shopware
    Krytyczna · 9.3 CVE-2024-22406 < 6.5.7.4 6.5.7.4
  11. Shopware Has Improper Control of Generation of Code in Twig rendered views
    Wysoka · 8.8 CVE-2023-2017 < 6.4.20.1 6.4.20.1
  12. Shopware vulnerable to Improper Control of Generation of Code in Twig rendered views
    Krytyczna · 9.8 CVE-2023-22731 < 6.4.18.1 6.4.18.1
  13. Shopware database password is leaked to an unauthenticated users
    Wysoka · 7.5 CVE-2020-13997 >= 6.0.0, < 6.2.3 6.2.3
  14. Improper Access Control in Shopware
    Wysoka · 8.1 CVE-2022-24872 < 6.4.10.1 6.4.10.1
  15. Server-Side Request Forgery (SSRF) in Shopware
    Wysoka · 7.2 CVE-2022-24871 < 6.4.10.1 6.4.10.1
  16. Webcache Poisoning in shopware/platform and shopware/core
    Krytyczna ghsa-r64m-qchj-hrjp < 6.4.6.1 6.4.6.1
  17. Command injection in mail agent settings
    Wysoka · 8.8 CVE-2021-37708 < 6.4.3.1 6.4.3.1
  18. Cross-Site Scripting via SVG media files
    Wysoka · 8.0 CVE-2021-37710 < 6.4.3.1 6.4.3.1
  19. Authenticated server-side request forgery in file upload via URL.
    Wysoka · 8.8 CVE-2021-37711 < 6.4.3.1 6.4.3.1
  20. Exposure of Sensitive Information to an Unauthorized Actor
    Wysoka · 7.5 CVE-2021-32717 < 6.4.1.1 6.4.1.1
  21. After order payment process manipulation in shopware/platform and shopware/core
    Krytyczna ghsa-88rc-3p98-rgvx < 6.3.5.3 6.3.5.3
Pokaż więcej (1) Widać 21 z 22

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.