JTL-Shop 5.7 - Aktuell 5.7.6

[MHillmann]

Release 5.7.0

Dieses Update enthält Bugfixes!

Wichtigste Änderungen seit 5.6.1
- Kompatibilität mit PHP 8.5 hergestellt und entsprechend Abkündigung der Unterstützung von PHP 8.2
- Zusätzlich: Entfernung aller Deprecations von Funktionen die mit Shopversion 5.5.0 und kleiner deprecated waren
- Gesetzliche Anforderung des Widerrufsbuttons umgesetzt SHOP-7344
- Release-Channels für Extensions SHOP-9013
- Neue Standardseite "Barrierefreiheit" unter Gesetzliche Informationen SHOP-8790
- SEO-Performance verbessert - mit PRG-Pattern für die Filternavigation (aktivierbar per Einstellung) SHOP-6058
- weiterhin Verbesserung der Performance bei vielen ausgewählten Merkmalfiltern SHOP-9157
- Performance-Problem bei vielen Herstellern behoben (Template-Einstellung) SHOP-9147

Umgesetzte High Vote Tickets
- Coupons - Anteilige Umsatzsteuerberechnung anhand der Warenkorb-Steuersätze SHOP-793
- Mehrere Upload-Artikel des gleichen Artikels bestellbar SHOP-4455

Telemetrie
JTL-Shop führt in der 5.7.0 für JTL-Hosting-Shops systematische Telemetrie-Datenerfassung ein, um datengestützte Entscheidungen zu ermöglichen und die Produktstrategie kontinuierlich zu validieren.

Alle seit 5.6.1 geänderten Vorgänge findet ihr in unserem Issuetracker.
Bitte beachtet beim Update von früheren Versionen auch die Releaseposts/Changelogs aller dazwischen liegenden Versionen!

Download Komplettpaket
* Download 5.7.0

Templateänderungen
* Template-Diff NOVA 5.6.1 zu 5.7.0

Emailvorlagenänderungen
* Emailvorlagen-Diff 5.6.1 zu 5.7.0

JTL-Shop 5 Umgebung auf die neueste JTL-Shop 5 Version updaten
* Sie nutzen JTL-Shop 5.6.0? So spielen Sie einen Patch-Build ein
* Sie nutzen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? So spielen Sie ein Versions-Update ein

Updates im JTL-Shop Hosting bei JTL
* Sie nutzen einen JTL-Shop 5.6.0 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x oder 5.5.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.7.1

Dieses Update enthält Bugfixes!

Wichtigste Änderungen seit 5.7.0
- Bugfix: Checkboxen in Plugins konnten nicht deaktiviert werden SHOP-9550
- Bugfix: Anzeige des Widerrufbuttons war an Linkgruppe Fuss gebunden SHOP-9548
- Bugfix: Dropdowns mit Mehrfachauswahl in Plugins konnten Fatal auslösen SHOP-9564
- Bugfix: Fehler von automatisch angelegten Weiterleitungen konnte den Abgleich blockieren SHOP-9566
- Naming des Bestellnummer-Feldes im Widerrufsformular angepasst SHOP-9551

Alle seit 5.7.1 geänderten Vorgänge findet ihr in unserem Issuetracker.
Bitte beachtet beim Update von früheren Versionen auch die Releaseposts/Changelogs aller dazwischen liegenden Versionen!

Download Komplettpaket
* Download 5.7.1

Download Patches
* Download Patch v5.7.0 auf v5.7.1

Templateänderungen
* Template-Diff NOVA 5.7.0 zu 5.7.1
* Template-Diff NOVA 5.6.1 zu 5.7.1

JTL-Shop 5 Umgebung auf die neueste JTL-Shop 5 Version updaten
* Sie nutzen JTL-Shop 5.7.0? So spielen Sie einen Patch-Build ein
* Sie nutzen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? So spielen Sie ein Versions-Update ein

Updates im JTL-Shop Hosting bei JTL
* Sie nutzen einen JTL-Shop 5.7.0 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.7.2

Dieses Update enthält einen kritischen Security Fix!

Informationen zum Sicherheitsupdate dieses Builds
Bei der Sicherheitslücke handelt es sich um eine SSTI (Server-Side Template Injection) im Betreff einer E-Mail. Dritte können dadurch an den Blowfish-Key oder das Datenbankpassword gelangen. Darüber hinaus ist ab Shop 5.4.0 auch eine RCE (Remote Code Execution) möglich, womit potenziell Schadcode auf dem Server ausgeführt werden kann.

Die Sicherheitslücke wurde von dem Sansec Threat Research Team gemeldet.

Download Komplettpaket
* Download 5.7.2

Download Patches
* Download Patch v5.7.0 auf v5.7.2
* Download Patch v5.7.1 auf v5.7.2

JTL-Shop 5 Umgebung auf die neueste JTL-Shop 5 Version updaten
* Sie nutzen JTL-Shop 5.7.0? So spielen Sie einen Patch-Build ein
* Sie nutzen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? So spielen Sie ein Versions-Update ein

Updates im JTL-Shop Hosting bei JTL
* Sie nutzen einen JTL-Shop 5.7.0 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.7.3

Dieses Update enthält einen kritischen Security Fix!

Informationen zum Sicherheitsupdate dieses Builds
Bei der Sicherheitslücke handelt es sich um eine XSS (Cross-Site-Scripting) in 2 Funktionen im Admin-Backend. Weiter Informationen dazu gibt es hier.

Die Sicherheitslücke wurde von Marcel Wölke (SySS GmbH) gemeldet.

Download Komplettpaket
* Download 5.7.3

Download Patches
* Download Patch v5.7.0 auf v5.7.3
* Download Patch v5.7.1 auf v5.7.3
* Download Patch v5.7.2 auf v5.7.3

JTL-Shop 5 Umgebung auf die neueste JTL-Shop 5 Version updaten
* Sie nutzen JTL-Shop 5.7.0? So spielen Sie einen Patch-Build ein
* Sie nutzen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? So spielen Sie ein Versions-Update ein

Updates im JTL-Shop Hosting bei JTL
* Sie nutzen einen JTL-Shop 5.7.0 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.7.4

Dieses Update enthält einen kritischen Security Fix!

Informationen zum Sicherheitsupdate dieses Builds
Bei der Sicherheitslücke handelt es sich um eine IDOR (Cross-Account Address Disclosure), bei der die gespeicherten Lieferadressen aller Kunden des Shops ausgelesen werden können.
Weitere Informationen gibt es hier: https://www.jtl-software.com/de/advisory-shop-security-bola-idor-shop-9886/

Weiterhin wurde eine Relected XSS Lücke im Passwort Vergessen Flow geschlossen.

Download Komplettpaket
* Download 5.7.4

Download Patches
* Download Patch v5.7.0 auf v5.7.4
* Download Patch v5.7.1 auf v5.7.4
* Download Patch v5.7.2 auf v5.7.4
* Download Patch v5.7.3 auf v5.7.4

JTL-Shop 5 Umgebung auf die neueste JTL-Shop 5 Version updaten
* Sie nutzen JTL-Shop 5.7.0? So spielen Sie einen Patch-Build ein
* Sie nutzen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? So spielen Sie ein Versions-Update ein

Updates im JTL-Shop Hosting bei JTL
* Sie nutzen einen JTL-Shop 5.7.0 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.7.5

Dieses Update enthält 2 kritische Security Fixes!

Informationen zum Sicherheitsupdate dieses Builds
Bei der ersten Sicherheitslücke handelt es sich um einen anonymous safe-mode toggle, bei dem der Shop mit einem einfachen URL-Aufruf in den safe-mode und damit in den Wartungsmodus gesetzt werden kann.
Weitere Informationen gibt es hier: https://www.jtl-software.com/de/security/shop-maintenance-mode
-> Gemeldet von Elkaño

Bei der zweiten Sicherheitslücke handelt es sich um eine Unauthenticated stored XSS, bei der invalide consent keys in die Conesnt-Statistik injiziert werden können.
Weitere Informationen gibt es hier: https://www.jtl-software.com/de/security/sicherheitsluecke-shop-xss/
-> Gemeldet von Lionel Machire (Metzler GmbH) und Lucas Nill

Weiterhin wurden 2 Path Traversal Security Issues behoben, die aber einen Admin-Zugang benötigen.
Eine davon - Arbitrary File Deletion via Path Traversal (Admin Backend) - wurde gemeldet von
-> Maximilian Hildebrand (m10x.de)

Download Komplettpaket
* Download 5.7.5

Download Patches
* Download Patch v5.7.0 auf v5.7.5
* Download Patch v5.7.1 auf v5.7.5
* Download Patch v5.7.2 auf v5.7.5
* Download Patch v5.7.3 auf v5.7.5
* Download Patch v5.7.4 auf v5.7.5

JTL-Shop 5 Umgebung auf die neueste JTL-Shop 5 Version updaten
* Sie nutzen JTL-Shop 5.7.0? So spielen Sie einen Patch-Build ein
* Sie nutzen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? So spielen Sie ein Versions-Update ein

Updates im JTL-Shop Hosting bei JTL
* Sie nutzen einen JTL-Shop 5.7.0 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen JTL-Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.7.6

Dieses Update enthält mehrere Security Fixes!

Informationen zum Sicherheitsupdate dieses Builds
In diesem Build wurden mehrere sicherheitsrelevante Schwachstellen behoben. Wir empfehlen allen Shopbetreibern, das Update zeitnah einzuspielen.
Dieser Build enthält die Sicherheitsfixes aus Version 5.8.4, soweit sie für die Version 5.7 relevant sind. Weitere Informationen finden Sie in den Release-Notes von 5.8.4.

Für die folgenden fünf Schwachstellen haben wir Sicherheitshinweise veröffentlicht. Dort finden Sie alle Details:

• Unauthentifiziertes reflektiertes XSS im OPC-Vorschaumodus
  Weitere Informationen gibt es hier: Sicherheitshinweis OPC-Vorschaumodus
  -> CVE-2026-22308
  -> Gemeldet von Lionel Machire (Metzler GmbH) und Lucas Nill
• Unauthentifiziertes gespeichertes XSS über den Crawler-User-Agent
  Weitere Informationen gibt es hier: Sicherheitshinweis Crawler-User-Agent
  -> CVE-2026-22309
  -> Gemeldet von Elkaño
• Unauthentifiziertes gespeichertes XSS über die 404-URL in den Weiterleitungen
  Weitere Informationen gibt es hier: Sicherheitshinweis 404-Weiterleitungen
  -> CVE-2026-22310
  -> Gemeldet von Elkaño
• Web-Installer nach der Installation nicht gesperrt
  Weitere Informationen gibt es hier: Sicherheitshinweis Web-Installer
  -> CVE-2026-123058
• IDOR im Bestellprozess: fremde Lieferadresse in der eigenen Bestellung
  Weitere Informationen gibt es hier: Sicherheitshinweis Lieferadressen im Bestellprozess
  -> CVE-2026-125060

Außerdem gibt es einen Sicherheitshinweis zum JTL-PayPal-Checkout-Plugin: gespeichertes XSS im Admin-Tab "Offene Bestellungen" (Plugin-Version 2.3.2). Dieser Fix ist nicht Teil des Shop-Builds, sondern wird über ein Plugin-Update ausgeliefert:
Sicherheitshinweis PayPal-Checkout-Plugin
-> CVE-2026-125061
-> Gemeldet von Elkaño

Weitere Security Fixes seit 5.7.5

• Unauthentifizierter Zugriff auf beliebige Klassen über den OPC-ProductStream-Filter
  -> Gemeldet von Mohamed Abdelaal (0xmrma)
• Übernahme von Admin-Konten über die Passwort-zurücksetzen-Funktion
  -> Gemeldet von Marc Zierer
• SQL-Injection in den Filterparametern des Datenbank-Managers; der Datenbank-Manager ist jetzt standardmäßig deaktiviert
  -> Gemeldet von Elkaño
• Path Traversal / Dateizugriff im Backend-IO
  -> Gemeldet von Elkaño
• Fehlende Berechtigungsprüfung bei den OPC-Entwürfen
  -> Gemeldet von Elkaño
• Beliebiges Löschen von Dateien über das Avatar-Upload-Attribut im Admin-Konto
  -> Gemeldet von Elkaño
• SQL-Injection im dbeS-Kategorie-Abgleich
  -> Gemeldet von Elkaño
• SQL-Injection über die Benachrichtigungsaktion im Backend
• Stored XSS durch ungefilterten Kundennamen in den Listenansichten des Backends
• Admin-CSRF-Token wurde im 2FA-Schritt überschrieben
• Fehlende Berechtigungsprüfung für ungeschützte Funktionen im AdminIO
• Zurücksetzen von Einstellungen ohne Berechtigung und ohne CSRF-Token
• Path Traversal beim dbeS-Bilder-Upload
• Fehlende Validierung beim Upload des News-Vorschaubilds

Download Komplettpaket
* Download 5.7.6

Download Patches
* Download Patch v5.7.0 auf v5.7.6
* Download Patch v5.7.1 auf v5.7.6
* Download Patch v5.7.2 auf v5.7.6
* Download Patch v5.7.3 auf v5.7.6
* Download Patch v5.7.4 auf v5.7.6
* Download Patch v5.7.5 auf v5.7.6

Shop 5 Umgebung auf die neueste Shop 5 Version updaten
* Sie nutzen Shop 5.7.0, 5.7.1, 5.7.2, 5.7.3, 5.7.4 oder 5.7.5? So spielen Sie einen Patch-Build ein
* Sie nutzen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? So spielen Sie ein Versions-Update ein

Updates im Shop Hosting bei JTL
* Sie nutzen einen Shop 5.7.0, 5.7.1, 5.7.2, 5.7.3, 5.7.4 oder 5.7.5 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern