Wichtig JTL-Shop 5.8 - Aktuell 5.8.4

[MHillmann]

Release 5.8.0

Dieses Update enthält Bugfixes!
Dieses Update enthält einen kritischen Security Fix!

Informationen zum Sicherheitsupdate dieses Builds
Bei der Sicherheitslücke handelt es sich um eine XSS (Cross-Site-Scripting) in 2 Funktionen im Admin-Backend. Weiter Informationen dazu gibt es hier.

Die Sicherheitslücke wurde von Marcel Wölke (SySS GmbH) gemeldet.

Wichtigste Änderungen seit 5.7.3
- EU-Gewährleistungs- und Garantie-Label im Shop SHOP-9121
- Sortierung von Artikeln nach Bruttopreis (inkl. aller Preisregeln) verbessert SHOP-9199
- Admin Tool um historische Daten zu löschen SHOP-9395
- Performance der Besucherstatistiken verbessert SHOP-5441

Alle seit 5.7.3 geänderten Vorgänge findet ihr in unserem Issuetracker.
Bitte beachtet beim Update von früheren Versionen auch die Releaseposts/Changelogs aller dazwischen liegenden Versionen!

Download Komplettpaket
* Download 5.8.0

Templateänderungen
* Template-Diff NOVA 5.7.3 zu 5.8.0

Emailvorlagenänderungen
* Emailvorlagen-Diff 5.7.3 zu 5.8.0

Shop 5 Umgebung auf die neueste Shop 5 Version updaten
* Sie nutzen Shop 5.7.0? So spielen Sie einen Patch-Build ein
* Sie nutzen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? So spielen Sie ein Versions-Update ein

Updates im Shop Hosting bei JTL
* Sie nutzen einen Shop 5.7.0 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.8.1

Dieses Update enthält einen Bugfix!
Dieses Update enthält einen kritischen Security Fix!

Informationen zum Sicherheitsupdate dieses Builds
Bei der Sicherheitslücke handelt es sich um eine IDOR (Cross-Account Address Disclosure), bei der die gespeicherten Lieferadressen aller Kunden des Shops ausgelesen werden können.
Weitere Informationen gibt es hier: https://www.jtl-software.com/de/advisory-shop-security-bola-idor-shop-9886/

Weiterhin wurde eine Relected XSS Lücke im Passwort Vergessen Flow geschlossen.

Weitere Änderungen seit 5.8.0
- Fatal in einem IO-Call om Bestellabschluss behoben SHOP-9863

Download Komplettpaket
* Download 5.8.1

Download Patches
* Download Patch v5.8.0 auf v5.8.1

Shop 5 Umgebung auf die neueste Shop 5 Version updaten
* Sie nutzen Shop 5.7.0? So spielen Sie einen Patch-Build ein
* Sie nutzen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? So spielen Sie ein Versions-Update ein

Updates im Shop Hosting bei JTL
* Sie nutzen einen Shop 5.7.0 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.8.2

Dieses Update enthält Bugfixes!
Dieses Update enthält 2 kritische Security Fixes!

Informationen zum Sicherheitsupdate dieses Builds
Bei der ersten Sicherheitslücke handelt es sich um einen anonymous safe-mode toggle, bei dem der Shop mit einem einfachen URL-Aufruf in den safe-mode und damit in den Wartungsmodus gesetzt werden kann.
Weitere Informationen gibt es hier: https://www.jtl-software.com/de/security/shop-maintenance-mode
-> Gemeldet von Elkaño

Bei der zweiten Sicherheitslücke handelt es sich um eine Unauthenticated stored XSS, bei der invalide consent keys in die Conesnt-Statistik injiziert werden können.
Weitere Informationen gibt es hier: https://www.jtl-software.com/de/security/sicherheitsluecke-shop-xss/
-> Gemeldet von Lionel Machire (Metzler GmbH) und Lucas Nill

Weiterhin wurden 2 Path Traversal Security Issues behoben, die aber einen Admin-Zugang benötigen.
Eine davon - Arbitrary File Deletion via Path Traversal (Admin Backend) - wurde gemeldet von
-> Maximilian Hildebrand (m10x.de)

Weitere Änderungen seit 5.8.1
- Falsche Sonderpreisen bei Lieferland mit abweichender Steuer SHOP-9883

Download Komplettpaket
* Download 5.8.2

Download Patches
* Download Patch v5.8.0 auf v5.8.2
* Download Patch v5.8.1 auf v5.8.2

Shop 5 Umgebung auf die neueste Shop 5 Version updaten
* Sie nutzen Shop 5.7.0? So spielen Sie einen Patch-Build ein
* Sie nutzen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? So spielen Sie ein Versions-Update ein

Updates im Shop Hosting bei JTL
* Sie nutzen einen Shop 5.7.0 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x oder 5.6.x? im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.8.3

Dieses Update enthält Bugfixes!
Dieses Update enthält mehrere Security Fixes!

Informationen zum Sicherheitsupdate dieses Builds
In diesem Build wurden mehrere sicherheitsrelevante Schwachstellen behoben.

Eine davon ist eine Second-order SQL injection, erreichbar durch jeden eingeloggten Backend Account unabhängig von seinen Berechtigungen im Backend (SHOP-10049)
→ Gemeldet von Lionel Machire (Metzler GmbH) and Lucas Nill

Weitere Änderungen seit 5.8.2
- Security: mehrere Security Fixes mit severity high, die mit einem eingeloggten Backend Account ausgenutzt werden konnten
- Performance: Filter queries / Preissortierung mit MariaDB 10.11 liefen ggf. ewig, was im Shop Hosting zu Serverausfällen führen konnte

Download Komplettpaket
* Download 5.8.3

Download Patches
* Download Patch v5.8.0 auf v5.8.3
* Download Patch v5.8.1 auf v5.8.3
* Download Patch v5.8.2 auf v5.8.3

Shop 5 Umgebung auf die neueste Shop 5 Version updaten
* Sie nutzen Shop 5.8.0, 5.8.1 oder 5.8.2? So spielen Sie einen Patch-Build ein
* Sie nutzen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x, 5.6.x oder 5.7.x? So spielen Sie ein Versions-Update ein

Updates im Shop Hosting bei JTL
* Sie nutzen einen Shop 5.8.0, 5.8.1 oder 5.8.2 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x, 5.6.x oder 5.7.x im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern

 

[MHillmann]

Release 5.8.4

Dieses Update enthält Bugfixes!
Dieses Update enthält mehrere Security Fixes!

Informationen zum Sicherheitsupdate dieses Builds
In diesem Build wurden mehrere sicherheitsrelevante Schwachstellen behoben. Wir empfehlen allen Shopbetreibern, das Update zeitnah einzuspielen.
Die meisten Sicherheitsfixes stehen zusätzlich für die Versionen 5.7.6, 5.6.6 und 5.5.5 bereit (Details in den Release-Notes der jeweiligen Version).

Für die folgenden sechs Schwachstellen haben wir Sicherheitshinweise veröffentlicht. Dort finden Sie alle Details:

• Unauthentifiziertes reflektiertes XSS im OPC-Vorschaumodus
  Weitere Informationen gibt es hier: Sicherheitshinweis OPC-Vorschaumodus
  -> CVE-2026-22308
  -> Gemeldet von Lionel Machire (Metzler GmbH) und Lucas Nill
• Unauthentifiziertes gespeichertes XSS über den Crawler-User-Agent
  Weitere Informationen gibt es hier: Sicherheitshinweis Crawler-User-Agent
  -> CVE-2026-22309
  -> Gemeldet von Elkaño
• Unauthentifiziertes gespeichertes XSS über die 404-URL in den Weiterleitungen
  Weitere Informationen gibt es hier: Sicherheitshinweis 404-Weiterleitungen
  -> CVE-2026-22310
  -> Gemeldet von Elkaño
• Unauthentifizierte Sperrung der Wawi-Synchronisation (X-Forwarded-For)
  Weitere Informationen gibt es hier: Sicherheitshinweis Wawi-Synchronisation
  -> CVE-2026-22311
• Web-Installer nach der Installation nicht gesperrt
  Weitere Informationen gibt es hier: Sicherheitshinweis Web-Installer
  -> CVE-2026-123058
• IDOR im Bestellprozess: fremde Lieferadresse in der eigenen Bestellung
  Weitere Informationen gibt es hier: Sicherheitshinweis Lieferadressen im Bestellprozess
  -> CVE-2026-125060

Außerdem gibt es einen Sicherheitshinweis zum JTL-PayPal-Checkout-Plugin: gespeichertes XSS im Admin-Tab "Offene Bestellungen" (Plugin-Version 2.3.2). Dieser Fix ist nicht Teil des Shop-Builds, sondern wird über ein Plugin-Update ausgeliefert:
Sicherheitshinweis PayPal-Checkout-Plugin
-> CVE-2026-125061
-> Gemeldet von Elkaño

Weitere Security Fixes seit 5.8.3

• Unauthentifizierter Zugriff auf beliebige Klassen über den OPC-ProductStream-Filter
  -> Gemeldet von Mohamed Abdelaal (0xmrma)
• Gespeichertes XSS über HTML-Entities in der Lieferadresse im Bestellstatus
  -> Gemeldet von Marc Zierer
• Übernahme von Admin-Konten über die Passwort-zurücksetzen-Funktion
  -> Gemeldet von Marc Zierer
• SQL-Injection in den Filterparametern des Datenbank-Managers; der Datenbank-Manager gab zudem Authentifizierungsdaten an Diagnose-Benutzer preis
  -> Gemeldet von Elkaño
• Path Traversal / Dateizugriff im Backend-IO
  -> Gemeldet von Elkaño
• Fehlende Berechtigungsprüfung bei den OPC-Entwürfen
  -> Gemeldet von Elkaño
• Beliebiges Löschen von Dateien über das Avatar-Upload-Attribut im Admin-Konto
  -> Gemeldet von Elkaño
• SQL-Injection im dbeS-Kategorie-Abgleich
  -> Gemeldet von Elkaño
• Fehlende Berechtigungsprüfung beim Abruf von Kundendaten
  -> Gemeldet von Maximilian Hildebrand (m10x.de)
• XSS in Newsletter-Vorlagen
  -> Gemeldet von Maximilian Hildebrand (m10x.de)
• Admin 2FA-Codes konnten von Admins mit eingeschränkten Rechten überschrieben werden
• Bei im Checkout registrierten Kundenkonten wurde ein ungesalzener MD5-Passwort-Hash gespeichert
• Open Redirect nach dem Login
• Open Redirect im PRGController
• dompdf-Sicherheitslücke (GHSA-7x2p-4jvh-6384) behoben, automatisches Scanning der Abhängigkeiten in der CI ergänzt
• Stored XSS durch ungefilterten Kundennamen in den Listenansichten des Backends
• Besucherdaten im Dashboard-Widget "Besucher" werden jetzt maskiert
• Fehlende CSRF-Prüfung im Bestellvorgang
• Admin-CSRF-Token wurde im 2FA-Schritt überschrieben
• Fehlende Berechtigungsprüfung für ungeschützte Funktionen im AdminIO
• Zurücksetzen von Einstellungen ohne Berechtigung und ohne CSRF-Token
• Prüfung des Eigentümers abgesichert
• Path Traversal beim dbeS-Bilder-Upload
• Fehlende Validierung beim Upload des News-Vorschaubilds

Weitere wichtige Hinweise zum Update

• Shop hinter einem Reverse-Proxy oder CDN: Der Shop übernimmt die IP-Adresse des Besuchers nur noch von Servern, die Sie als vertrauenswürdig eingetragen haben. Sonst erscheint die Adresse des Proxys als Besucher-IP. Tragen Sie Ihre Proxy-Adressen kommasepariert in der config.JTL-Shop.ini.php ein, z. B. define('TRUSTED_PROXY_IPS', '172.18.0.0/16');.

Weitere Änderungen seit 5.8.3
- Fehler beim Bearbeiten von Referenz-Links im Backend behoben SHOP-9861

Download Komplettpaket
* Download 5.8.4

Download Patches
* Download Patch v5.8.0 auf v5.8.4
* Download Patch v5.8.1 auf v5.8.4
* Download Patch v5.8.2 auf v5.8.4
* Download Patch v5.8.3 auf v5.8.4

Shop 5 Umgebung auf die neueste Shop 5 Version updaten
* Sie nutzen Shop 5.8.0, 5.8.1, 5.8.2 oder 5.8.3? So spielen Sie einen Patch-Build ein
* Sie nutzen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x, 5.6.x oder 5.7.x? So spielen Sie ein Versions-Update ein

Updates im Shop Hosting bei JTL
* Sie nutzen einen Shop 5.8.0, 5.8.1, 5.8.2 oder 5.8.3 im JTL-Shop Hosting bei uns? Mit Stichwort "Build-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anstoßen
* Sie nutzen einen Shop 5.0.x, 5.1.x, 5.2.x, 5.3.x, 5.4.x, 5.5.x, 5.6.x oder 5.7.x im JTL-Shop Hosting bei uns? Mit Stichwort "Versions-Update": Hier erfahren Sie wie Sie das Update auf die neueste Version anfordern