Shopware 6.7 : XSS stockée via des fichiers HTML téléversés

Veille sécuritéFrontend

P4Non déterminée

Shopware 6.7 peut servir des fichiers HTML contrôlés par un attaquant en tant que text/html, permettant une XSS stockée lorsqu’un administrateur les consulte. Le vol du jeton d’administration peut mener à des actions non autorisées et, si le compte dispose des privilèges de gestion d’extensions, à l’exécution de code via un plugin malveillant; aucun correctif n’est précisé dans la fiche fournie.

IdentifiantCVE-2026-104937

GravitéNon déterminée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-104937

Analyse technique

Les fichiers HTML téléversés sont servis sans en-têtes de sécurité efficaces; l’impact ultérieur dépend des privilèges du compte administrateur compromis.

Impact, versions et correctif

Événement datéLa fiche NVD est datée du 2026-10-13 et mise à jour le même jour; elle décrit une XSS et ses conséquences, sans fournir de correctif ni de score CVSS.

ImpactLe script peut voler un jeton d’administration; un compte disposant des privilèges nécessaires pourrait permettre l’installation d’un plugin malveillant et l’exécution de code.

Versions affectéesShopware version 6.7

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-13T19:17:56.030Z

Mise à jour2026-10-13T21:17:25.917Z

Action recommandée

Éviter de servir des fichiers HTML téléversés comme contenu actif; appliquer le correctif Shopware lorsqu’il est publié et revoir les privilèges des comptes d’administration.

Sources

NVD — CVE-2026-104937

Priorisation DFS : P4 · 1 source(s).