JVNDB-2026-007566

Shopware AGのShopwareにおけるスプーフィングによる認証回避に関する脆弱性

Shopwareはオープンコマースプラットフォームです。バージョン6.6.10.15および6.7.8.1より前のバージョンにおいて、特定の条件下で攻撃者がショップとアプリ間の通信チャネルを乗っ取る可能性があるShopwareアプリの登録フローに脆弱性が存在しました。従来のアプリ登録フローはHMACベースの認証を使用していましたが、ショップインストールを元のドメインに十分に紐付けていませんでした。再登録時に、以前に登録されたショップやドメインの制御を証明することなくshop-urlを更新可能でした。これにより、攻撃者が該当するアプリ側のシークレットを所有している場合、特定のアプリ通信を乗っ取ることができました。アプリの再登録を悪用することで、攻撃者はアプリのトラフィックを攻撃者管理のドメインへリダイレクトし、正当なショップ向けのAPI認証情報を取得できる可能性がありました。この脆弱性はバージョン6.6.10.15および6.7.8.1で修正されました。

Shopware AG

• Shopware 6.6.10.15 未満
• Shopware 6.7.0.0 以上 6.7.8.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Potential take over of app credentials  Advisory  shopware/shopware  GitHub

1. スプーフィングによる認証回避(CWE-290) [その他]

1. CVE-2026-31889

1. National Vulnerability Database (NVD) : CVE-2026-31889

• [2026年03月18日]
    掲載