Vulnerabilidad en Shopware 6 (CVE-2025-51541)

Existe una vulnerabilidad de cross-site scripting (XSS) almacenado en la interfaz de instalación de Shopware 6, ubicada en /recovery/install/database-configuration/. El campo c_database_schema no depura correctamente la información proporcionada por el usuario antes de mostrarla en el navegador, lo que permite a un atacante inyectar JavaScript malicioso. Esta vulnerabilidad puede explotarse mediante un ataque de Cross-Site Request Forgery (CSRF) debido a la ausencia de protección CSRF en la solicitud POST. Un atacante remoto no autenticado puede manipular una página web maliciosa que, al ser visitada por una víctima, almacena el payload de forma persistente en la configuración de la instalación. Como resultado, el payload se ejecuta cada vez que un usuario accede posteriormente a la página de instalación vulnerable, lo que provoca la ejecución persistente de código del lado del cliente.