shopware-Sicherheitsupdate 6.7.10.1 und 6.6.10.18: 9 Sicherheitslücken geschlossen

Am 19.05.2026 hat shopware die Sicherheitsupdates 6.7.10.1 und 6.6.10.18 veröffentlicht. Sie schließen 9 Sicherheitslücken (höchster Schweregrad: mittel) – Shop-Betreiber sollten zeitnah aktualisieren.

Was bedeutet das für Sie?

• Betroffen: Online-Shops mit shopware 6.7 und shopware 6.6
• Dringlichkeit: hoch – Sicherheitsupdate, höchster Schweregrad „mittel“

Wir empfehlen, das Update zeitnah einzuspielen. Ist ein direktes Update nicht möglich, schließt das kostenlose Security-Plugin von shopware die bekannten Lücken übergangsweise. Mit unseren shopware-6-Aktualisierungen übernehmen wir das für Sie.

Geschlossene Sicherheitslücken

• SSRF in Media External-Link Endpoint Bypasses IP Validation (Schweregrad: mittel, CVE-2026-48013)
• Stored XSS via SVG file upload — no SVG sanitization (Schweregrad: mittel, CVE-2026-48015)
• Unauthorized Payment Trigger for Foreign Orders via /store-api/handle-payment (Schweregrad: mittel, CVE-2026-48016)
• Admin API ACL Bypass in Order State Transition Endpoints (Schweregrad: mittel, CVE-2026-48014)
• Shopware SSO referer trust leading to an arbitrary redirect target (Schweregrad: mittel, CVE-2026-48012)
• Privilege escalation: non-admin user with user:create ACL can create admin accounts (Schweregrad: mittel, CVE-2026-48010)
• Timing-attack on admin panel allowing enumeration of administrator usernames (Schweregrad: niedrig, CVE-2026-48011)
• Admin Account Takeover via User Recovery Hash Exposure (Schweregrad: mittel, CVE-2026-48009)
• Privilege Escalation via Sync API Integration Admin Flag Bypass (Schweregrad: mittel, CVE-2026-48008)

Release Notes

Release Notes shopware 6.7.10.1
Release Notes shopware 6.6.10.18

Gerne betreuen wir auch Ihren shopware-Shop – vom Update bis hin zum Relaunch.