p PatchFirst

CVE-2026-48013

CVE-2026-48013 · Shopware: SSRF in Media External-Link Endpoint Bypasses IP Validation

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Shopware is an open commerce platform. Prior to 6.6.10.18 and 6.7.10.1, the `/api/_action/media/external-link` endpoint allows authenticated admin users to make server-side HTTP HEAD requests to arbitrary internal IP addresses. While the parallel `uploadFromURL` flow validates target IPs against private/reserved ranges via `FileUrlValidator`, the `linkURL` flow only performs a URL format check (regex for `http://` or `https://` prefix), allowing SSRF to internal network services and cloud metadata endpoints. This issue is fixed in versions 6.6.10.18 and 6.7.10.1.

CVSS 4.1 · Moyenne · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: php

Produits et versions concernés

  • shopware

    Versions du logiciel
    • < 6.6.10.18: Concernée
    • >= 6.7.0.0, < 6.7.10.1: Concernée

    Aucun correctif publié

  • platform

    Versions du logiciel
    • < 6.6.10.18: Concernée
    • >= 6.7.0.0, < 6.7.10.1: Concernée

    Aucun correctif publié

  • shopware/core Packagist

    Versions du logiciel
    • v6.7.0.0
    • v6.7.0.1
    • v6.7.1.0
    • v6.7.1.1
    • v6.7.1.2
    • v6.7.10.0
    • v6.7.2.0
    • v6.7.2.1
    • v6.7.2.2
    • v6.7.3.0
    • v6.7.3.1
    • v6.7.4.0
    • v6.7.4.1
    • v6.7.4.2
    • v6.7.5.0
    • v6.7.5.1
    • v6.7.6.0
    • v6.7.6.1
    • v6.7.6.2
    • v6.7.7.0
    • v6.7.7.1
    • v6.7.8.0
    • v6.7.8.1
    • v6.7.8.2
    • v6.7.9.0
    • v6.7.9.1
    Plages de versions concernées
    • ECOSYSTEM: ≥ 6.7.0.0, < 6.7.10.1

    Mettez à jour vers 6.7.10.1

  • shopware/platform Packagist

    Versions du logiciel
    • v6.7.0.0
    • v6.7.0.1
    • v6.7.1.0
    • v6.7.1.1
    • v6.7.1.2
    • v6.7.10.0
    • v6.7.2.0
    • v6.7.2.1
    • v6.7.2.2
    • v6.7.3.0
    • v6.7.3.1
    • v6.7.4.0
    • v6.7.4.1
    • v6.7.4.2
    • v6.7.5.0
    • v6.7.5.1
    • v6.7.6.0
    • v6.7.6.1
    • v6.7.6.2
    • v6.7.7.0
    • v6.7.7.1
    • v6.7.8.0
    • v6.7.8.1
    • v6.7.8.2
    • v6.7.9.0
    • v6.7.9.1
    Plages de versions concernées
    • ECOSYSTEM: ≥ 6.7.0.0, < 6.7.10.1

    Mettez à jour vers 6.7.10.1

Sources originales

Vérifiez votre serveur →