🟠 CVE-2026-12204: High Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-12204 betrifft ShopXO in Versionen bis 6.7.1 und ermöglicht einen Authorization Bypass über den Scheduled Task Endpoint. Ein Angreifer kann durch Manipulation bestimmter Funktionen die Zugriffskontrolle umgehen und unbefugt auf sensible Operationen zugreifen. Die Schwachstelle wurde öffentlich offengelegt und der CVSS-Wert von 7.3 klassifiziert sie als High-Severity-Risiko.

Betroffene Systeme

• ShopXO Version 6.7.1 und älter
• Komponente: Scheduled Task Endpoint (Crontab.php)
• Betriebssystem: Plattformübergreifend
• E-Commerce-Systeme, die ShopXO als Basis verwenden

Technische Details

Die Anfälligkeit liegt in der Datei app/api/controller/Crontab.php und betrifft folgende Funktionen:

• OrderClose
• OrderSuccess
• PayLogOrderClose
• GoodsGiveIntegral

Durch manipulierte Parameter oder Requests gegen diese Endpoints können Authentifizierungsmechanismen umgangen werden. Attacken sind netzwerkbasiert möglich und erfordern keine lokalen Zugriffe. Der fehlende Patch und die öffentliche Offenlegung erhöhen das Angriffsrisiko erheblich.

Empfohlene Massnahmen

• Sofortmassnahmen: ShopXO-Installation auf aktuellste Version upgraden oder auf eine sichere Version aktualisieren, sobald verfügbar
• Netzwerkschutz: WAF (Web Application Firewall) implementieren, um verdächtige Requests gegen /api/controller/Crontab.php zu blockieren
• Monitoring: Logs der Crontab-Endpoints überwachen und ungewöhnliche Zugriffsmuster analysieren
• Zugriffskontrolle: IP-Whitelisting für Scheduled Task Endpoints konfigurieren
• Sicherheits-Patch: Vendor-Updates verfolgen und zeitnah einspielen

Bewertung

CVSS v3.1 Score: 7.3 (High)

Angriffsvektor: Network | Exploitbarkeit: Öffentlich verfügbar | Patch-Status: Nicht verfügbar

Die Kombination aus Remote-Exploitbarkeit, fehlender Vendor-Reaktion und öffentlicher Disclosure macht diese Schwachstelle zu einer kritischen Bedrohung für ShopXO-Installationen. Unverzügliches Handeln ist erforderlich.

„`