shopware-Sicherheitsupdate 6.7.13.1 und 6.6.10.23: 10 Sicherheitslücken geschlossen

Am 25.08.2026 hat shopware die Sicherheitsupdates 6.7.13.1 und 6.6.10.23 veröffentlicht. Sie schließen 10 Sicherheitslücken (höchster Schweregrad: kritisch) – Shop-Betreiber sollten zeitnah aktualisieren.

Was bedeutet das für Sie?

• Betroffen: Online-Shops mit shopware 6.7 und shopware 6.6
• Dringlichkeit: hoch – Sicherheitsupdate, höchster Schweregrad „kritisch“

Wir empfehlen, das Update zeitnah einzuspielen. Ist ein direktes Update nicht möglich, schließt das kostenlose Security-Plugin von shopware die bekannten Lücken übergangsweise. Mit unseren shopware-6-Aktualisierungen übernehmen wir das für Sie.

Geschlossene Sicherheitslücken

• Missing Rate Limiting on DocumentRoute Guest Authentication Allows Zipcode Brute-Force (Schweregrad: niedrig)
• SSRF via App System — Webhooks, Payment, Tax, Checkout, and Context Gateways Bypass FileUrlValidator Protection (Schweregrad: niedrig)
• SSRF in Shopware media URL import via DNS rebinding bypass of FileUrlValidator IP validation (Schweregrad: mittel)
• Path traversal via writable media.fileExtension leads to remote code execution (single media:update privilege) (Schweregrad: hoch)
• Unauthenticated disclosure of unapproved product reviews via nested store-api associations (Schweregrad: mittel)
• Privilege escalation via aclRoles mass assignment remains possible after CVE-2026-48010 fix (Schweregrad: mittel)
• Pre-authentication SQL injection in Store API (Schweregrad: hoch)
• Stored SQL/DDL Injection via Custom Entity Field Names (App Manifest) (Schweregrad: kritisch)
• Admin account takeover via Host-header password-reset poisoning (Schweregrad: kritisch)
• App Script sandbox escape allows arbitrary PHP and OS command execution (Schweregrad: kritisch)

Release Notes

Release Notes shopware 6.7.13.1
Release Notes shopware 6.6.10.23

Gerne betreuen wir auch Ihren shopware-Shop – vom Update bis hin zum Relaunch.