Ungepatchte XSS-Lücke in Shopware 6.7 trifft den Media-Manager

Wie der Angriff abläuft

Shopware 6.7 nimmt im Media-Manager Dateien an, deren Inhalt der Angreifer bestimmt, und liefert sie anschliessend mit dem Content-Type text/html aus. Wirksame Security-Header fehlen dabei. Öffnet eine Person mit Admin-Session diese Datei im Browser, läuft der enthaltene Code im Kontext der Shop-Domain und kann das Authentifizierungs-Token auslesen.

Mit diesem Token steht die Admin-API offen. Darüber lassen sich Extensions installieren, was in der Praxis auf Codeausführung auf dem Server hinausläuft. Das CERT Coordination Center führt den Fall unter VU#157374 und gibt an, Shopware sei am 8. September 2026 informiert worden.

Der Einstiegspunkt ist der Standardumfang des Shops. Jeder Zugang mit Upload-Recht kommt dafür in Frage, also auch Redaktionslogins, Agenturzugänge und Import-Integrationen.

Die Patchlage ist offen

Eine konkrete Fix-Version für die self-managed Installation ist in den öffentlichen Einträgen bisher nicht genannt. Betroffen ist laut CVE-Eintrag die Linie 6.7. Ob die 6.6-Linie ebenfalls anfällig ist, geht aus den verfügbaren Angaben nicht hervor. Auch die Einstufung der Schwere ist uneinheitlich, eine abgeschlossene NVD-Analyse liegt nicht vor.

Auf der eigenen Statusseite meldet Shopware für den 15. Oktober 2026 eine Sicherheitsmassnahme zu dieser CVE für PaaS Native. Wer selbst hostet, muss die Absicherung selbst vornehmen.

Das letzte reguläre Security-Release war 6.7.14.1 vom 16. September 2026. Die Service-Releases 6.7.15.1 und 6.6.10.29 vom 7. Oktober 2026 bringen Korrekturen für den Rule Builder und für unbenutzte Themes. Einen Fix für CVE-2026-104937 enthalten sie nach aktueller Quellenlage nicht.

Absicherung ohne Patch

Die Mitigation liegt auf der Auslieferungsseite. Solange Medien nicht als HTML im Browser gerendert werden, läuft der beschriebene Weg ins Leere. Das lässt sich auf Webserver-Ebene erzwingen, unabhängig vom Shopware-Release.

• Upload von.html.htm und.svg im Media-Manager sperren

• Medien mit Content-Disposition: attachment ausliefern

• X-Content-Type-Options und eine restriktive CSP für das Medienverzeichnis setzen

• Medien idealerweise über eine separate Domain oder ein CDN ausliefern

• Bestehende Medienordner nach HTML-Dateien durchsuchen

• Upload-Berechtigungen, Integrationen und API-Keys inventarisieren und überzählige Admin-Rechte entziehen

Was das für Ihren Shop heisst

Aktualisieren Sie auf 6.7.15.1 beziehungsweise 6.6.10.29, weil das der gepflegte Stand ist. Planen Sie das Wartungsfenster für das kommende Security-Release aber bereits jetzt ein und beobachten Sie dafür die Shopware Security Advisories auf GitHub. Ein Major-Sprung ist derzeit nicht nötig, 6.7 hat Security-Support bis zum 28. Februar 2028, 6.6 ebenfalls.

Beim Update auf 6.7.15.1 lohnt ein Blick auf eigene Mail-Templates. Die GARAN-Labels kommen dort neu als Template-Daten statt über einen Twig-Filter. Prüfen Sie zusätzlich die PHP-Version. 6.6 und 6.7 laufen auf PHP 8.2 bis 8.5, PHP 8.5 ist ab 6.7.7 offiziell unterstützt. Die SQL-Injection in der Store-API vom September betraf ausdrücklich Installationen unter PHP 8.4.

Für Agenturteams ist der Browser der eigentliche Angriffspunkt. Die Admin-Session läuft in Safari oder Chrome auf dem Mac der Mitarbeitenden. Ein eigenes Browserprofil für Shop-Admins und das konsequente Abmelden nach der Arbeit verkleinern das Zeitfenster für einen Token-Diebstahl deutlich. Von eigenen Patches im Core und von einer überstürzten Migration raten wir ab.