Wichtige Sicherheitsupdates mit Shopware v6.6.5.1

Mit der Veröffentlichung der Version v6.6.5.1 am 8. August 2024 wurden mehrere sicherheitsrelevante Probleme in Shopware adressiert. Diese Version konzentriert sich hauptsächlich auf die Behebung von Schwachstellen, um die Sicherheit der Plattform zu erhöhen.

Sicherheitskorrekturen

Zu den behobenen Sicherheitsproblemen zählen:

• Blind SQL-Injection in DAL Aggregationen: Dieses Problem wurde durch die Identifikation und Korrektur einer potentiellen Schwachstelle behoben, welche eine SQL-Injection durch nicht validierte Parameter erlaubte (GHSA-p6w9-r443-r752).
• Server Side Template Injection in Twig mittels Context-Funktionen: Eine Schwachstelle in Twig, die durch die Nutzung von Context-Funktionen zu einer Server Side Template Injection führen konnte, wurde behoben (GHSA-35jp-8cgg-p4wj).
• Server Side Template Injection in Twig mittels Deprecation Silence Tag: Eine weitere Server Side Template Injection Schwachstelle in Twig, die durch die Verwendung des Deprecation Silence Tags verursacht wurde, wurde korrigiert (GHSA-27wp-jvhw-v4xp).
• Unzureichende Zugriffskontrolle bei ManyToMany-assoziationen in der Store-API: Eine Schwachstelle, die zu unzureichender Zugriffskontrolle bei ManyToMany-assoziationen in der Store-API führte, wurde behoben (GHSA-hhcq-ph6w-494g).

Weitere Verbesserungen

Neben den sicherheitsrelevanten Korrekturen wurden auch einige weitere technische Verbesserungen und Fehlerbehebungen implementiert:

• Verbesserungen des Context-Objekts: Hier wurden Anpassungen vorgenommen, die zu einer verbesserten Handhabung des Context-Objekts führen (NEXT-37399).
• Validierung der Aggregationsnamen: Es wurden Verbesserungen bei der Validierung von Aggregationsnamen durchgeführt, um die Datenintegrität zu erhöhen (NEXT-37397).
• Validierung des Silent-Token-Features: Die Validierung des Silent-Token-Features wurde optimiert, um Schwachstellen in diesem Bereich zu minimieren (NEXT-37398).
• Fehlerbehebung bei der Filterung von Zahlungs- und Versandmethoden: Ein Fehler, der die Filterung über die Dekoration der Zahlungs- und Versandmethodenrouten beeinträchtigte, wurde korrigiert (NEXT-37545).
• Anpassung der Typ-Annotation im MediaUrlPlaceholderHandler: Änderungen an den Typ-Annotations im MediaUrlPlaceholderHandler wurden implementiert, um Typfehler zu reduzieren (NEXT-37555).

Diese Version stellt sicher, dass Schwachstellen eliminiert wurden und die Plattform robuste und sichere E-Commerce-Dienste weiterhin gewährleistet.