Vulnerabilidad en CoreShop de coreshop (CVE-2026-41249)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-94
Control incorrecto de generación de código (Inyección de código)
Fecha de publicación:
04/06/2026
Última modificación:
22/07/2026
Descripción
CoreShop es una solución de comercio electrónico mejorada de Pimcore. En las versiones 5.0.1 hasta 5.1.0-beta.1, el flujo de trabajo de GitHub Actions (.github/workflows/static.yml) utiliza el disparador pull_request_target pero, de forma peligrosa, extrae el código no verificado de la cabecera de la solicitud de extracción (ref: ${{ github.event.pull_request.head.ref }}). Posteriormente, ejecuta un script (bin/console) desde esta extracción no confiable. Esto permite a cualquier atacante externo lograr Ejecución Remota de Código (RCE) en el ejecutor de GitHub Actions simplemente enviando una solicitud de extracción maliciosa. También conocida como vulnerabilidad 'Pwn Request'. En el momento de la publicación, pull_request_target todavía está en el archivo.
Impacto
Puntuación base 3.x
8.20
Gravedad 3.x
ALTA
Referencias a soluciones, herramientas e información
- https://github.com/coreshop/CoreShop/blob/5.1.0-beta.1/.github/workflows/static.yml#L14
- https://github.com/coreshop/CoreShop/commit/cc1e3f547228ec5ebfc1dc0472f9a3cc5f4137a4
- https://github.com/coreshop/CoreShop/security/advisories/GHSA-q58j-g3f4-h26h
- https://github.com/coreshop/CoreShop/security/advisories/GHSA-q58j-g3f4-h26h