CVE-2026-48014
CVE-2026-48014 · Shopware: Admin API ACL Bypass in Order State Transition Endpoints
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Shopware is an open commerce platform. Prior to 6.6.10.18 and 6.7.10.1, the order state transition features /api/_action/order/{orderId}/state/{transition} and similar transaction and delivery transition routes in src/Core/Checkout/Order/Api/OrderActionController.php do not declare PlatformRequest::ATTRIBUTE_ACL or perform an explicit privilege check, so AclAnnotationValidator exits when route ACL metadata is absent and low-privileged users without order:update, order_transaction:update, or order_delivery:update can trigger StateMachineRegistry::transition() writes in SYSTEM_SCOPE. This issue is fixed in versions 6.6.10.18 and 6.7.10.1.
CVSS 6.5 · Media · EPSS 0,4% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: php
Productos y versiones afectados
shopware
- Versiones
- < 6.6.10.18: Afectada
- >= 6.7.0.0, < 6.7.10.1: Afectada
Sin corrección publicada
platform
- Versiones
- < 6.6.10.18: Afectada
- >= 6.7.0.0, < 6.7.10.1: Afectada
Sin corrección publicada
shopware/platform Packagist
- Versiones
- v6.7.0.0
- v6.7.0.1
- v6.7.1.0
- v6.7.1.1
- v6.7.1.2
- v6.7.10.0
- v6.7.2.0
- v6.7.2.1
- v6.7.2.2
- v6.7.3.0
- v6.7.3.1
- v6.7.4.0
- v6.7.4.1
- v6.7.4.2
- v6.7.5.0
- v6.7.5.1
- v6.7.6.0
- v6.7.6.1
- v6.7.6.2
- v6.7.7.0
- v6.7.7.1
- v6.7.8.0
- v6.7.8.1
- v6.7.8.2
- v6.7.9.0
- v6.7.9.1
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 6.7.0.0, < 6.7.10.1
Actualiza a 6.7.10.1
shopware/platform Packagist
- Versiones
- 6.3.0.0
- 6.3.0.1
- 6.3.0.2
- 6.3.1.0
- 6.3.1.1
- 6.3.2.0
- 6.3.2.1
- 6.3.3.0
- 6.3.3.1
- 6.3.4.0
- 6.3.4.1
- 6.3.5.0
- 6.3.5.1
- 6.3.5.2
- 6.3.5.3
- 6.3.5.4
- 6.4.0.0
- 6.4.0.0-RC1
- 6.4.1.0
- 6.4.1.1
- 6.4.1.2
- 6.4.10.0
- 6.4.10.1
- 6.4.11.0
- 6.4.11.1
- 6.4.12.0
- 6.4.13.0
- 6.4.14.0
- 6.4.15.0
- 6.4.15.1
- 6.4.15.2
- 6.4.16.0
- 6.4.16.1
- 6.4.17.0
- 6.4.17.1
- 6.4.17.2
- 6.4.18.0
- 6.4.18.1
- 6.4.19.0
- 6.4.2.0
- 6.4.2.1
- 6.4.20.0
- 6.4.20.1
- 6.4.20.2
- 6.4.3.0
- 6.4.3.1
- 6.4.4.0
- 6.4.4.1
- 6.4.5.0
- 6.4.5.1
- 6.4.6.0
- 6.4.6.1
- 6.4.7.0
- 6.4.8.0
- 6.4.8.1
- 6.4.8.2
- 6.4.9.0
- 6.5.0.0
- 6.5.0.0-rc1
- 6.5.0.0-rc2
- 6.5.0.0-rc3
- 6.5.0.0-rc4
- v6.0.0+ea2
- v6.1.0
- v6.1.0-rc1
- v6.1.0-rc2
- v6.1.0-rc3
- v6.1.0-rc4
- v6.1.1
- v6.1.2
- v6.1.3
- v6.1.4
- v6.1.5
- v6.1.6
- v6.2.0
- v6.2.0-RC1
- v6.2.1
- v6.2.2
- v6.2.3
- v6.5.1.0
- v6.5.1.1
- v6.5.2.0
- v6.5.2.1
- v6.5.3.0
- v6.5.3.1
- v6.5.3.2
- v6.5.3.3
- v6.5.4.0
- v6.5.4.1
- v6.5.5.0
- v6.5.5.1
- v6.5.5.2
- v6.5.6.0
- v6.5.6.1
- v6.5.7.0
- v6.5.7.1
- v6.5.7.2
- v6.5.7.3
- v6.5.7.4
- v6.5.8.0
- v6.5.8.1
- v6.5.8.10
- v6.5.8.11
- v6.5.8.12
- v6.5.8.13
- v6.5.8.14
- v6.5.8.15
- v6.5.8.16
- v6.5.8.17
- v6.5.8.18
- v6.5.8.19
- v6.5.8.2
- v6.5.8.3
- v6.5.8.4
- v6.5.8.5
- v6.5.8.6
- v6.5.8.7
- v6.5.8.8
- v6.5.8.9
- v6.6.0.0
- v6.6.0.0-rc1
- v6.6.0.0-rc2
- v6.6.0.0-rc3
- v6.6.0.0-rc4
- v6.6.0.0-rc5
- v6.6.0.0-rc6
- v6.6.0.0-rc7
- v6.6.0.1
- v6.6.0.2
- v6.6.0.3
- v6.6.1.0
- v6.6.1.1
- v6.6.1.2
- v6.6.10.0
- v6.6.10.1
- v6.6.10.10
- v6.6.10.11
- v6.6.10.12
- v6.6.10.13
- v6.6.10.14
- v6.6.10.15
- v6.6.10.16
- v6.6.10.17
- v6.6.10.2
- v6.6.10.3
- v6.6.10.4
- v6.6.10.5
- v6.6.10.6
- v6.6.10.7
- v6.6.10.8
- v6.6.10.9
- v6.6.2.0
- v6.6.3.0
- v6.6.3.1
- v6.6.4.0
- v6.6.4.1
- v6.6.5.0
- v6.6.5.1
- v6.6.6.0
- v6.6.6.1
- v6.6.7.0
- v6.6.7.1
- v6.6.8.0
- v6.6.8.1
- v6.6.8.2
- v6.6.9.0
- Intervalos de versiones afectados
- ECOSYSTEM: < 6.6.10.18
Actualiza a 6.6.10.18
shopware/core Packagist
- Versiones
- v6.7.0.0
- v6.7.0.1
- v6.7.1.0
- v6.7.1.1
- v6.7.1.2
- v6.7.10.0
- v6.7.2.0
- v6.7.2.1
- v6.7.2.2
- v6.7.3.0
- v6.7.3.1
- v6.7.4.0
- v6.7.4.1
- v6.7.4.2
- v6.7.5.0
- v6.7.5.1
- v6.7.6.0
- v6.7.6.1
- v6.7.6.2
- v6.7.7.0
- v6.7.7.1
- v6.7.8.0
- v6.7.8.1
- v6.7.8.2
- v6.7.9.0
- v6.7.9.1
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 6.7.0.0, < 6.7.10.1
Actualiza a 6.7.10.1
shopware/core Packagist
- Versiones
- 6.3.0.0
- 6.3.0.1
- 6.3.0.2
- 6.3.1.0
- 6.3.1.1
- 6.3.2.0
- 6.3.2.1
- 6.3.3.0
- 6.3.3.1
- 6.3.4.0
- 6.3.4.1
- 6.3.5.0
- 6.3.5.1
- 6.3.5.2
- 6.3.5.3
- 6.3.5.4
- 6.4.0.0
- 6.4.0.0-RC1
- 6.4.1.0
- 6.4.1.1
- 6.4.1.2
- 6.4.10.0
- 6.4.10.1
- 6.4.11.0
- 6.4.11.1
- 6.4.12.0
- 6.4.13.0
- 6.4.14.0
- 6.4.15.0
- 6.4.15.1
- 6.4.15.2
- 6.4.16.0
- 6.4.16.1
- 6.4.17.0
- 6.4.17.1
- 6.4.17.2
- 6.4.18.0
- 6.4.18.1
- 6.4.19.0
- 6.4.2.0
- 6.4.2.1
- 6.4.20.0
- 6.4.20.1
- 6.4.20.2
- 6.4.3.0
- 6.4.3.1
- 6.4.4.0
- 6.4.4.1
- 6.4.5.0
- 6.4.5.1
- 6.4.6.0
- 6.4.6.1
- 6.4.7.0
- 6.4.8.0
- 6.4.8.1
- 6.4.8.2
- 6.4.9.0
- 6.5.0.0
- 6.5.0.0-rc1
- 6.5.0.0-rc2
- 6.5.0.0-rc3
- 6.5.0.0-rc4
- v6.0.0+ea2
- v6.1.0
- v6.1.0-rc1
- v6.1.0-rc2
- v6.1.0-rc3
- v6.1.0-rc4
- v6.1.1
- v6.1.2
- v6.1.3
- v6.1.4
- v6.1.5
- v6.1.6
- v6.2.0
- v6.2.0-RC1
- v6.2.1
- v6.2.2
- v6.2.3
- v6.5.1.0
- v6.5.1.1
- v6.5.2.0
- v6.5.2.1
- v6.5.3.0
- v6.5.3.1
- v6.5.3.2
- v6.5.3.3
- v6.5.4.0
- v6.5.4.1
- v6.5.5.0
- v6.5.5.1
- v6.5.5.2
- v6.5.6.0
- v6.5.6.1
- v6.5.7.0
- v6.5.7.1
- v6.5.7.2
- v6.5.7.3
- v6.5.7.4
- v6.5.8.0
- v6.5.8.1
- v6.5.8.10
- v6.5.8.11
- v6.5.8.12
- v6.5.8.13
- v6.5.8.14
- v6.5.8.15
- v6.5.8.16
- v6.5.8.17
- v6.5.8.18
- v6.5.8.19
- v6.5.8.2
- v6.5.8.3
- v6.5.8.4
- v6.5.8.5
- v6.5.8.6
- v6.5.8.7
- v6.5.8.8
- v6.5.8.9
- v6.6.0.0
- v6.6.0.0-rc1
- v6.6.0.0-rc2
- v6.6.0.0-rc3
- v6.6.0.0-rc4
- v6.6.0.0-rc5
- v6.6.0.0-rc6
- v6.6.0.0-rc7
- v6.6.0.1
- v6.6.0.2
- v6.6.0.3
- v6.6.1.0
- v6.6.1.1
- v6.6.1.2
- v6.6.10.0
- v6.6.10.1
- v6.6.10.10
- v6.6.10.11
- v6.6.10.12
- v6.6.10.13
- v6.6.10.14
- v6.6.10.15
- v6.6.10.16
- v6.6.10.17
- v6.6.10.2
- v6.6.10.3
- v6.6.10.4
- v6.6.10.5
- v6.6.10.6
- v6.6.10.7
- v6.6.10.8
- v6.6.10.9
- v6.6.2.0
- v6.6.3.0
- v6.6.3.1
- v6.6.4.0
- v6.6.4.1
- v6.6.5.0
- v6.6.5.1
- v6.6.6.0
- v6.6.6.1
- v6.6.7.0
- v6.6.7.1
- v6.6.8.0
- v6.6.8.1
- v6.6.8.2
- v6.6.9.0
- Intervalos de versiones afectados
- ECOSYSTEM: < 6.6.10.18
Actualiza a 6.6.10.18
Fuentes originales
- https://github.com/shopware/shopware/security/advisories/GHSA-f8q6-3g5w-jjr6
- https://github.com/shopware/shopware/commit/86dff24ba500e16325742e59d20357f57a79c2af
- https://github.com/shopware/shopware/commit/9f15faee704b61e8a96657024fa96c70b47ad082
- https://github.com/shopware/shopware/releases/tag/v6.6.10.18
- https://github.com/shopware/shopware/releases/tag/v6.7.10.1
- https://nvd.nist.gov/vuln/detail/CVE-2026-48014