Composer security advisories

Shopware 6 (German)
1

In Tools wird wieder einmal security advisories (mcp/sdk) angezeigt.
Man kann aber nicht aktualisieren!

Your requirements could not be resolved to an installable set of packages.

Problem 1

  • Root composer.json requires shopware/core 6.7.13.0 → satisfiable by shopware/core[v6.7.13.0].
  • shopware/core v6.7.13.0 requires mcp/sdk ^0.6.0 → found mcp/sdk[v0.6.0] but these were not loaded, because they are affected by security advisories („PKSA-p9gd-j6gr-6f9t“). Go to Packagist.org to find advisory details. To ignore the advisories, add their IDs to the „policy.advisories.ignore-id“ config or add the package to „policy.advisories.ignore“. To turn the feature off entirely, you can set „policy.advisories.block“ to false.
    Problem 2
  • Root composer.json requires shopware/storefront 6.7.13.0 → satisfiable by shopware/storefront[v6.7.13.0].
  • shopware/storefront v6.7.13.0 requires mcp/sdk ^0.6.0 → found mcp/sdk[v0.6.0] but these were not loaded, because they are affected by security advisories („PKSA-p9gd-j6gr-6f9t“). Go to Packagist.org to find advisory details. To ignore the advisories, add their IDs to the „policy.advisories.ignore-id“ config or add the package to „policy.advisories.ignore“. To turn the feature off entirely, you can set „policy.advisories.block“ to false.
    Problem 3
  • Root composer.json requires swag/paypal 10.8.0 → satisfiable by swag/paypal[10.8.0].
  • shopware/core v6.7.13.0 requires mcp/sdk ^0.6.0 → found mcp/sdk[v0.6.0] but these were not loaded, because they are affected by security advisories („PKSA-p9gd-j6gr-6f9t“). Go to Packagist.org to find advisory details. To ignore the advisories, add their IDs to the „policy.advisories.ignore-id“ config or add the package to „policy.advisories.ignore“. To turn the feature off entirely, you can set „policy.advisories.block“ to false.
  • swag/paypal 10.8.0 requires shopware/core ~6.7.0@dev → satisfiable by shopware/core[v6.7.13.0].

Steffen Winde

2

Das Security Advisory wurde heute Morgen, um 2026-08-14 06:19:00, gemeldet.

Shopware benötigt Zeit, um die Kompatibilität mit der neuen Version einer Drittanbieter-Software sicher zu stellen. In den nächsten Tagen wird sicherlich ein Update von Shopware bzw. des Plugins bereitgestellt, falls dieses Paket durch Shopware oder ein Shopware-Plugin geladen wird.

Der Hinweis, wie betroffenen Pakete per composer aktualisiert werden können, wird in Frosh Tools immer sofort angezeigt, unabhängig davon ob es mit Shopware kompatibel ist oder nicht.

3

Bei uns sieht das in den Frosh Tools auch übel aus. Aber bald aktualisieren wir Shopware und dann ist hoffentlich dieses und natürlich die anderen behoben.

4

Hallo, wir wollten auch gerade auf 7.13 updaten und sind darauf gestoßen.

Wir warten also nun doch noch ein paar Tage bis der Patch kommt :smiley:

5

Ich habe zu diesem Problem noch kein Issue bei Shopware gefunden, keine Ahnung ob es da einen Patch geben wird!

6

Wenn ich es richtig verstanden habe, wird es diese Woche noch ein Fix für das Issue geben.

7

Ihr könnt auch bei Composer: --no-security-blocking machen, dann blockiert es wenigstens nicht mehr.

8

Mit dieser Option gibt es zwar keinen Fehler aber leider auch kein Update!
Composer meint „Nothing to install, update or remove“

9

Ich hatte diesen Post falsch verstanden!
Ein "composer update --no-security-blocking" funktioniert damit super.
Somit wäre ein Update über die Konsole möglich.

Das ändert aber nichts an dem Problem mit CVE-2026-53965!

10

Mehr als Shopware aktualisieren (vielleicht sogar öfters) und auf das Shopware Sicherheitsplugin zu setzen können wir nicht.

11

Dienstag kommt sehr wahrscheinlich das update. So lange kein MCP_SERVER=1 in der .env steht, ist der Code nicht ausführbar der die Lücke beinhaltet.

Ich arbeite schon daran das man im FroshTools zusätzliche Informationen anzeigen kann die Shopware / sogar einzelne Umgebung bezogen sind. Oftmals sind die lücken nicht so schlimm in den jeweiligen Kontext, weil das Feature nicht verwendet wird und und

12

Vielen Dank auch speziell für die Entwicklung vom FroshTool!
Vielleicht kann man die Anzeige der Meldungen „als gelesen“ markieren? Ich habe Kunden die allergisch auf rote und gelbe Punkte reagieren.

13

Wenn du in die composer.json folgendes hinzufügst sollte Composer und FroshTools nicht mehr nerven :thinking:

{
    "config": {
        "policy": {
            "advisories": {
                "ignore-id": {
                    "CVE-2026-53965": "MCP Server nicht aktiv"
                }
            }
        }
    }
}

Ich kann nochmal ein Modal einbauen wo der Snippet steht. Einen Button zum direkten deaktivieren wollte ich ungern einbauen, da irgendwelche leute das wegklicken und dann sieht es keiner mehr. Aber mit einem eigenen ACL Recht sollte das ja okay sein :eyes: