Shopware 6 Updates: Alle Änderungen im Überblick

Das ändert sich im Shop-Alltag

• Rabatt-Prozente richten sich nach dem 30-Tage-Tiefstpreis Ist für ein Produkt der niedrigste Preis der letzten 30 Tage hinterlegt, berechnet der Shop die Ersparnis jetzt ausgehend von diesem Wert und zeigt den durchgestrichenen Listenpreis nicht mehr an. Das entspricht Art. 6a der Richtlinie 98/6/EG und dem EuGH-Urteil C-330/23. Rabatt-Kennzeichnung und Hervorhebung des reduzierten Preises erscheinen nur noch, wenn der Verkaufspreis unter dem 30-Tage-Tiefstpreis liegt, auch bei Produkten ohne Listenpreis. Ohne hinterlegten 30-Tage-Tiefstpreis ändert sich nichts. Der Textbaustein lautet nun „Niedrigster Preis (letzte 30 Tage): %price%" statt „vorher %price%".
• Rule Builder: Versandarten und Rabatte filtern wieder korrekt Seit 6.7.14.0 werteten die meisten Artikel-Bedingungen im Rule Builder nur Positionen vom Typ Produkt aus. Eigene Positionen, Gutschrift-Positionen und Positionen aus Erweiterungen wurden nicht mehr erkannt. Eine einzelne solche Position konnte bei einer Bedingung mit „Sind keine von", etwa „Artikel mit Tag / Alle / Sind keine von", Versandarten verstecken oder Rabatte blockieren. Die Bedingungen prüfen eine Position jetzt wieder anhand ihrer Daten, nicht anhand ihres Typs.
• Rule Builder: Bedingung zum Preis-/Listenpreis-Verhältnis greift nicht mehr fälschlich Seit 6.7.9.0 behandelte die Bedingung „Artikel mit Preis-/Listenpreis-Verhältnis" Positionen ohne Listenpreis so, als hätten sie das Verhältnis 0. Dadurch griffen Bedingungen wie „Ist kleiner als 1" auf jede Position ohne Listenpreis, und Rabatte für reduzierte Produkte wurden auf alle Produkte angewendet. Für Positionen ohne Listenpreis wird jetzt kein Verhältnis mehr berechnet; auf sie treffen nur noch die Operatoren „Ist ungleich" und „Ist leer" zu. Wer „Ist gleich 0" genutzt hat, um Positionen ohne Listenpreis anzusprechen, verwendet jetzt „Ist leer".
• Neue Bedingung für das Bestellalter in Flows Eine neue Regel-Bedingung vergleicht das Bestelldatum mit dem heutigen Datum in Kalendertagen. Damit lassen sich Flows auf bestehende Bestellungen eingrenzen, etwa auf Bestellungen der letzten 30 Tage. Das ist nützlich für Abläufe, die vom Alter einer Bestellung abhängen, zum Beispiel Erinnerungen oder Bewertungsanfragen.
• Vollständiger Hinweis zur Gewährleistung im Checkout Unter den AGB im Checkout lässt sich jetzt der vollständige lokalisierte Gewährleistungshinweis einblenden, über die Einstellung core.cart.showLegalGuaranteeNoticeInline. Sie ist standardmäßig aus und setzt voraus, dass core.cart.showLegalGuaranteeNotice aktiv ist. Der Gewährleistungshinweis erscheint nun auch bei der Registrierung und bei anderen Formularen mit Datenschutzhinweis, sofern dort die AGB-Bestätigung verlangt wird.
• Digitale Produkte ohne hinterlegte Datei speicherbar Im Administrationsbereich lassen sich digitale Produkte jetzt ohne hochgeladene Datei speichern, wenn die Dateizuweisung extern erfolgt. Beim Bearbeiten ist die Option voreingestellt, wenn das Produkt keine Downloads hat, und abgeschaltet, wenn Downloads vorhanden sind.
• Bestellmengen für digitale Produkte einstellbar n der Lieferbarkeits-Karte digitaler Produkte gibt es den Schalter „Mehrere Einheiten pro Bestellung erlauben". Eingeschaltet lassen sich Mindestabnahme, Staffelung und Maximalabnahme setzen, ausgeschaltet bleibt es bei einer Einheit pro Bestellung. Auch die Massenbearbeitung blendet diese Felder nicht mehr aus. Damit ist zugleich ein Fehler seit 6.7.14.0 behoben: Digitale Produkte waren unabhängig von der eingetragenen Maximalabnahme auf eine Einheit begrenzt.
• Garantiebedingungen je Produkt und im GARAN-Label Zu jedem Produkt lassen sich jetzt Garantiebedingungen als PDF oder als Link hinterlegen, Varianten erben sie. Im Shop steht der Link unter dem GARAN-Label auf der Produktseite, das verkürzte Label öffnet auf Klick das vollständige Label. Die Bestellbestätigung enthält den Link, ein hinterlegtes PDF wird angehängt. Außerdem speichert Shopware das GARAN-Label mit der Bestellung. Ändern Sie später die Garantieangaben eines Produkts, bleibt in der Bestellung das Label stehen, mit dem sie aufgegeben wurde.
• Bestellbearbeitung rechnet mit den Adressen der Bestellung Wird eine Bestellung im Administrationsbereich bearbeitet, nutzt Shopware jetzt die Adressen, mit denen sie aufgegeben wurde, auch wenn der Kunde seine Standardadresse inzwischen geändert hat. Bisher konnte dadurch die Steuer falsch berechnet werden. Eine noch offene Zahlung wird außerdem auf den neuen Bestellwert angepasst, solange der Kunde die Zahlungsart noch ändern kann.
• MCP-Zugriff muss ausdrücklich freigegeben werden ntegrationen und Benutzer ohne Administratorrechte verlieren mit dem Update den Zugriff auf den MCP-Server, bis die erlaubten Funktionen ausgewählt sind. Bisher galt eine leere Auswahl als „alles erlaubt", jetzt als „nichts erlaubt". Die Freigabe erfolgt unter Einstellungen > System > Integrationen oder im jeweiligen Benutzer. Wer den MCP-Server im Einsatz hat, prüft das direkt nach dem Update.

Im Backend aufgeräumt

• Bestellpositionen werden auf mehrere Seiten verteilt Hat eine Bestellung mehr als 10 Hauptpositionen (ohne untergeordnete Positionen), zeigt die Positionsliste auf der Bestelldetailseite 10 Einträge je Seite. Darunter liegt eine Seitennavigation, in der sich die Anzahl der Einträge je Seite ändern lässt. Suchen oder Hinzufügen einer Position springt zur ersten Seite zurück.
• Empfohlene Länge für Meta-Titel und -Beschreibung Die SEO-Formulare von Kategorien und Produkten zeigen jetzt die Zeichenzahl gegen die empfohlene Länge an und heben den Hinweis hervor, wenn die Empfehlung überschritten wird. Bei Kategorien gelten 70 Zeichen für den Meta-Titel und 150 für die Beschreibung, bei Produkten 56 und 155. Vererbte Werte werden mitgezählt.
• Statusauswahl bei Bestellungen mit Status-Punkt Die Statusauswahl zeigt den aktuellen Zustand mit einem farbigen Punkt an, und jede Option zeigt den Punkt ihres Zielzustands. Das macht den Bestellstatus auf einen Blick erkennbar.
• Trigger-Ereignis in E-Mail-Vorlagen vorausgewählt In den E-Mail-Vorlagen ist das Trigger-Ereignis jetzt vorausgewählt, wenn alle aktiven Flows, die eine Vorlage des gewählten Typs versenden, dasselbe Ereignis nutzen. Die Vorauswahl benötigt die Berechtigung flow:read.
• Hauptmenügruppe „Kataloge" heißt jetzt „Produkte" Die erste Hauptmenügruppe trägt jetzt die Bezeichnung „Produkte", ihr Produktlisten-Eintrag heißt „Übersicht", und die zugehörige Gruppe unter Einstellungen > Benutzer & Berechtigungen ebenfalls „Produkte". Menü-IDs und Berechtigungsschlüssel bleiben unverändert.
• Berechtigungsgruppen folgen der Hauptnavigation Die Reihenfolge der Gruppen im Berechtigungsraster unter Einstellungen > Benutzer & Berechtigungen folgt jetzt der Hauptnavigation (Produkte, Bestellungen, Kunden, Inhalte, Marketing, Einstellungen) statt der alphabetischen Reihenfolge. Gruppen von Erweiterungen stehen alphabetisch dahinter, „Sonstige" zuletzt.
• Snippet-Set-Auswahl für Verkaufskanal-Domains nach Sprache gruppiert Die Snippet-Set-Auswahl im Domain-Dialog eines Verkaufskanals listet jetzt alle Sets, gruppiert nach den Sprachen des Verkaufskanals. Die Gruppe der gewählten Domain-Sprache steht vorn. Das erleichtert die Zuordnung bei mehrsprachigen Shops.
• Plugin-Einstellungen in Tabs Plugin-Entwickler können die Konfigurationskarten ihrer Erweiterung jetzt in Tabs gliedern. Karten ohne Tab landen automatisch unter „Allgemein". Ob eine Erweiterung das nutzt, entscheidet ihr Hersteller.

Für Entwickler und Technik

• Content-Security-Policy für statische HTML- und SVG-Dateien unter Apache Das Apache-Template .htaccess.dist sendet für vorhandene .html-Dateien unter public/media und public/thumbnail sowie für SVG-Dateien jetzt script-src 'none'; object-src 'none'; frame-src 'none'; base-uri 'none'; form-action 'none'. Stellen Sie sicher, dass Ihr ausgeliefertes .htaccess den aktualisierten Shopware-Abschnitt enthält; Installationen ohne die Shopware-Marker müssen ihn manuell zusammenführen. Eigene statische Dokumente müssen ohne Skripte, eingebettete Dokumente, Base-URL-Overrides oder Formularversand funktionieren.
• Theme-Konfiguration erreicht alle abgeleiteten Themes Das Speichern eines Basis-Themes aktualisiert jetzt die vererbte Laufzeitkonfiguration und kompiliert zugewiesene abgeleitete Themes auf jeder Vererbungsebene neu. Kind- und Enkel-Themes brauchen kein separates Speichern mehr. Das Deaktivieren oder Deinstallieren eines Basis-Themes ist blockiert, solange ein abgeleitetes Theme oder eine Theme-Kopie einem Verkaufskanal zugewiesen ist; die Fehlermeldung benennt die betroffenen Themes und Verkaufskanäle.
• Angepasste Bestellbestätigung: GARAN-Variable statt Twig-Filter Die Bestellbestätigung liest das GARAN-Label jetzt aus der Template-Variable garanLabels, der Filter sw_garan_label_mail ist deprecated. Eine Migration passt die Vorlage nur in Shops an, die sie nie bearbeitet haben. Bei angepassten Vorlagen ersetzen Sie in der HTML-Version nestedItem.productId|sw_garan_label_mail(context) durch garanLabels[nestedItem.productId] ?? null und in der Textversion lineItem.productId|sw_garan_label_mail(context) durch garanLabels[lineItem.productId] ?? null. Jeder Eintrag in garanLabels hat zusätzlich den Schlüssel termsUrl für den Link zu den Garantiebedingungen.
• Snippet zum Gewährleistungshinweis aufgeteilt Das kombinierte Snippet checkout.confirmTermsTextModalWithGuarantee ist entfallen. An seine Stelle treten checkout.confirmTermsTextModal für die AGB und checkout.confirmLegalGuaranteeNotice für den Gewährleistungshinweis. Theme-Overrides, die das alte Snippet nutzen, sind anzupassen.
• Plain-Text-Felder werden mit HTMLPurifier bereinigt StringField und LongTextField ohne AllowHtml-Flag werden jetzt mit HTMLPurifier statt PHPs strip_tags() bereinigt. Ein <, hinter dem kein HTML-Tag beginnt, bleibt erhalten, sodass etwa 5 < 10 wie getippt gespeichert wird. Auch die Suchbegriff-Tokenisierung behält diesen Text; Produktnamen mit einem solchen < wurden bisher nur bis zum < in den Suchindex aufgenommen. Führen Sie nach dem Update bin/console dal:refresh:index aus, damit bestehende Produkte wieder vollständig gefunden werden.
• System-Config-Schema-Endpunkte benötigen Leserechte Die Endpunkte GET /api/_action/system-config/schema und GET /api/_action/system-config/get-schema verlangen jetzt die bestehende Berechtigung system_config:read. Integrationen und API-Clients, die diese Endpunkte aufrufen, müssen das Recht ihrer ACL-Rolle hinzufügen.
• Standardwährung im Sales-Channel-Kontext wiederhergestellt SalesChannelContext::getSalesChannel()->getCurrency() liefert wieder die Standardwährung des Verkaufskanals, auch wenn für den Kontext eine andere Währung gewählt ist. Das stellt das Verhalten vor 6.7.15.0 für Erweiterungen her, die die Standardwährung lesen. Für die aktuell gewählte Währung nutzen Sie SalesChannelContext::getCurrency().
• Ungenutzte Theme-Verzeichnisse bleiben nach dem Wechsel erhalten Der geplante Task theme.delete_files arbeitet jetzt in zwei Schritten: Ein ungenutztes Verzeichnis wird zuerst mit einer .retired-Datei markiert und erst bei einem späteren Lauf gelöscht, wenn die Markierung mindestens 24 Stunden alt ist. Da der Task täglich läuft, wird ein Verzeichnis 24 bis 48 Stunden nach dem Wechsel gelöscht. Das verhindert 404-Fehler für Seiten, die noch aus HTTP-Cache oder CDN ausgeliefert werden. theme:compile und theme:change führen die Bereinigung nicht mehr selbst aus; die Option --no-cleanup ist wirkungslos und entfällt in 6.8.0.0. Streichen Sie sie aus Deploy-Skripten.
• Meteor Component Library auf 5.8.0 aktualisiert Die Administration nutzt jetzt Meteor Component Library 5.8.0, Meteor Admin SDK 6.15.0 und Meteor Icon Kit 5.11.0. Automatisch ausgefüllte Formularfelder sind im Dark Mode wieder lesbar. Prüfen Sie Ihre Erweiterungen: Die globalen Schrifteinstellungen änderten sich, mt-select zentriert seinen Inhalt und kleine Selects sind 32px hoch. Eigene Paddings, die nur die alte Ausrichtung ausglichen, können entfernt werden.
• Vorbereitung auf 6.8: Verhaltensänderungen einzeln testen Mit MEDIA_URL_PATH_ENCODING=1, PROPORTIONAL_CART_TAXES=1 und DELETE_CART_AFTER_ORDER_CREATION=1 lassen sich kodierte Medien-URL-Pfade, die proportionale Steuerberechnung und das frühere Löschen des persistierten Warenkorbs im Checkout einzeln testen. Mit V6_8_0_0=1 aktivieren alle drei, sofern nicht ausdrücklich abgeschaltet; Flags wie JSON_LD_DATA und CACHE_REWORK schalten sich damit ebenfalls ein, eine ausdrückliche Einstellung des einzelnen Flags hat Vorrang. Die Migrationshinweise stehen in UPGRADE-6.8.md.
• Bewertungen brauchen ab 6.8 Autor und Sternebewertung Mit aktivem v6.8.0.0 lehnt POST /store-api/product/{productId}/review Bewertungen ohne points ab, und die Entität product_review verlangt externalUser und points (1 bis 5). Integrationen, Importe und Headless-Frontends, die Bewertungen anlegen, sollten beide Felder schon jetzt senden. Bestehende Bewertungen ohne Wertung erhalten beim 6.8-Update 0 Punkte, was wie „keine Wertung" behandelt wird.
• Weitere Änderungen Die Entfernung von $tc() sowie der Twig-Funktionen category_url und category_linknewtab wurde von 6.8 auf 6.9 verschoben. Verkaufskanäle vom Typ Produktvergleich oder Agentic Commerce lassen sich wieder ohne Standardwährung in der Währungsliste speichern, wie vor 6.7.15.0. Apps mit eigenen MCP-Tools, -Prompts oder -Ressourcen sind nach dem Update neu zu installieren oder zu aktualisieren, weil ihre Einträge nicht migriert werden. Themes, die die Warenkorb- oder Bestätigungs-Templates komplett ersetzen, übernehmen das neue Attribut data-checkout-customer-storage-reset. Alle übrigen Änderungen, darunter Extension-Events für sämtliche Store-API-Routen, neue Store-API-Routen für Nachbestellungen und eine überarbeitete MCP-Ergebnisstruktur, stehen im Changelog auf GitHub.

Quellen

Das ändert sich im Shop-Alltag

• Sensible E-Mail-Inhalte landen nicht mehr im Log Shopware hält Inhalte aus E-Mails künftig aus den Logdateien heraus. Damit tauchen etwa Kunden- oder Bestelldaten, die in einer E-Mail stehen, nicht mehr unbeabsichtigt in Protokollen auf. Das ist vor allem für den Datenschutz relevant.
• Begrenzung für das Ausprobieren von Gutscheincodes Für Aktionscodes lässt sich jetzt eine Ratenbegrenzung einstellen. So lassen sich gültige Codes nicht mehr beliebig oft durchprobieren. Die Begrenzung ist konfigurierbar.
• Garantie-Funktionen (GARAN) überarbeitet Mehrere Korrekturen betreffen die Garantie-Funktion: Das vollständige Garantie-Label lässt sich jetzt aus dem Label öffnen, das Label, mit dem eine Bestellung aufgegeben wurde, bleibt erhalten, und die Garantiebedingungen des Herstellers lassen sich an GARAN-Produkte anhängen. Zusätzlich wird das rechtliche Garantie-Modal auf der Zahlungsseite der Bestellung angezeigt.
• DSGVO-Hinweistext angepasst Shopware hat einen Textbaustein zur DSGVO-Information geändert. Wenn Sie diesen Text selbst überschrieben haben, prüfen Sie nach dem Update, ob Ihre Fassung weiter greift.

Darstellung im Storefront

• Mengen-Eingaben und Konto-Menüs auf schmalen Bildschirmen Eingabefelder für die Menge bleiben auf kleinen Displays lesbar, und die Kontextmenüs im Kundenkonto laufen nicht mehr über den Bildschirmrand hinaus. Auch der Adressmanager-Dialog bleibt im sichtbaren Bereich.
• Lange Texte und Badges brechen sauber um Die Filterbeschriftungen bei Bewertungen brechen jetzt um, Badges wachsen mit ihrem Text mit, und lange Wörter in der Produktbeschreibung werden korrekt umbrochen statt über den Rand zu laufen.

Im Backend

• Lieferungen in der Bestellliste sortieren wie in der Detailansicht Die Lieferungen in der Bestellübersicht werden jetzt in derselben Reihenfolge angezeigt wie auf der Detailseite der Bestellung. Das verhindert Verwechslungen beim Abgleich.
• Transaktion in der Sammelbearbeitung von Bestellungen ändern In der Sammelbearbeitung lässt sich die aktuelle Transaktion ändern. Damit lassen sich mehrere Bestellungen auf einmal anpassen.
• Konfigurierte Beschriftungen in dynamischen Produktgruppen Dynamische Produktgruppen verwenden jetzt die konfigurierten Beschriftungen. Zusätzlich werden diese Gruppen nach einer Kategoriezuweisung aktualisiert, sodass die Zuordnung wieder stimmt.

Für Entwickler und Technik

• HTTP-Methoden-Overrides auf Formular-Aktionen beschränkt Das Überschreiben der HTTP-Methode ist jetzt auf Formular-Aktionen begrenzt. Das grenzt die Angriffsfläche ein.
• Term-Suche auf von der API ausgegebene Felder begrenzt Die Term-Suche durchsucht nur noch Felder, die die API tatsächlich ausgibt. Das verhindert, dass über die Suche auf nicht vorgesehene Felder zugegriffen wird.
• Overrides über Component-Builds hinweg erhalten Methoden und Props aus Overrides bleiben über mehrere Component-Builds hinweg erhalten, und Override-Konfigurationen werden je Build kopiert. Das betrifft die Arbeit an eigenen Administration-Komponenten.
• Snippet-Pfad-Index wird nicht mehr nach jeder Datei neu gebaut Shopware baut den Snippet-Pfad-Index nicht mehr nach jeder einzelnen Datei neu auf. Bei vielen Snippet-Dateien spart das Zeit.
• Lizenzprüfung für ddev.site-Domains übersprungen Für lokale Entwicklungsumgebungen unter ddev.site werden die Lizenzprüfungen übersprungen. Das erleichtert die Arbeit in lokalen Setups.
• Weitere kleinere Korrekturen Der Resolver für vertrauenswürdige App-System-URLs übergibt nun null als DNS-Resolver, und das Registrieren des Einfüge-Befehls läuft über einen exec-Aufruf. Dazu kommen Anpassungen an internen Tests.

Hinweis zur LTS-Linie

Für Entwickler und Technik

• Trusted-URL-Resolver des App-Systems korrigiert Der Resolver für vertrauenswürdige URLs im App-System erhält nun null als DNS-Resolver übergeben. Damit arbeitet die Prüfung externer URLs in Apps wieder wie vorgesehen.
• Service-Definition des Resolvers bereinigt Die Service-Definition des Trusted-URL-Resolvers wurde korrigiert. Ein zweiter Punkt desselben Themenbereichs, ebenfalls ohne Auswirkung auf die Bedienung.

Das ändert sich im Shop-Alltag

• Regeln beachten wieder alle Warenkorb-Positionen Seit 6.7.14.0 haben Regeln im Rule Builder, die den Warenkorb prüfen, nur noch normale Produkte beachtet. Lag eine andere Position im Warenkorb, etwa eine Gutschrift oder eine Position aus einem Plugin, konnten laut Shopware Versandarten verschwinden oder Aktionen nicht greifen, wenn die Regel verneint formuliert war, etwa mit „sind keine von“. Jetzt beachten die Regeln wieder alle Positionen. An Plugins muss nichts geändert werden.
• Theme-Dateien bleiben nach dem Neukompilieren einen Tag liegen Nach dem Neukompilieren eines Themes, zum Beispiel bei einem Update, konnte Shopware die bisherigen Theme-Dateien sofort löschen. Seiten, die noch aus dem Cache oder von einem CDN kamen, fanden ihre Stylesheets und Skripte dann nicht mehr. Jetzt bleiben die alten Dateien nach dem Umschalten mindestens 24 Stunden erhalten, bevor Shopware sie aufräumt.
• GARAN-Label in der Bestellbestätigung, dritte Änderung in Folge Shopware hat die Technik hinter dem Label in der Mail erneut umgebaut, laut eigener Angabe damit es auch während eines laufenden Updates mit parallel laufenden Servern funktioniert. Shops mit unveränderter Standardvorlage bekommen das automatisch. Wer die Vorlage selbst angepasst hat, muss sie laut Shopware noch einmal anpassen, siehe Entwicklerteil.
• Digitale Produkte: Bestellmenge wieder nach Einstellung Seit 6.7.14.0 konnten Kunden von einem digitalen Produkt nur ein Stück pro Bestellung kaufen, egal was am Produkt eingestellt war. Jetzt gilt wieder die maximale Abnahme am Produkt. Wer bei einem Stück bleiben will, trägt dort 1 ein.
• Verkaufskanäle vom Typ Produktvergleich lassen sich wieder speichern Seit 6.7.15.0 ließen sich Verkaufskanäle, die weder Storefront noch Headless sind, nicht mehr speichern, wenn ihre Standardwährung nicht in der Währungsliste stand. Das geht jetzt wieder.
• Vollständiger Gewährleistungshinweis im Checkout Eine neue Einstellung in den Warenkorb-Einstellungen zeigt den gesetzlichen Gewährleistungshinweis im Checkout als vollständigen Text unter den AGB statt nur als Link. Sie ist standardmäßig aus und setzt voraus, dass der Hinweis eingeschaltet ist. Die 6.6er-Reihe hat das seit 6.6.10.28, den Hintergrund finden Sie im Eintrag dort. Ob und wie das für den eigenen Shop gilt, müssen Händler selbst beurteilen.

Das sollten Sie vor dem Update prüfen

• Digitale Produkte Nach dem Update können Kunden wieder mehr als ein Stück kaufen, wenn am Produkt keine maximale Abnahme von 1 steht. Vorher einmal durchsehen.
• Angepasste Regeln Wer Regeln umgebaut hat, um fehlende Versandarten oder blockierte Aktionen zu umgehen, sieht sie nach dem Update noch einmal durch. Die Bedingungen greifen jetzt wieder wie vor 6.7.14.0.
• Eigene Bestellbestätigungs-Mail Wer die Vorlage selbst gepflegt hat, muss den GARAN-Teil erneut anpassen. Bei unveränderter Standardvorlage ist nichts zu tun.
• Wer noch unterhalb von 6.7.15.0 ist Direkt auf 6.7.15.1 gehen und die Hinweise zum Admin-Umbau aus dem Eintrag zu 6.7.15.0 beachten.

Für Entwickler und angebundene Systeme

• Rule Builder Die Positionsbedingungen werten eine Position anhand der Daten aus, die sie trägt, nicht mehr anhand ihres Typs. Betroffen waren seit 6.7.14.0 Custom- und Credit-Line-Items sowie Line-Items aus Erweiterungen, laut Shopware etwa unter „Item with tag / All / Are none of“. Eigene Line-Item-Typen funktionieren wieder ohne Anpassung.
• Theme-Verzeichnisse Bisher zählte das Alter von public/theme/ ab der Kompilierung, nicht ab dem Umschalten; ein vor Wochen kompiliertes Theme wurde beim nächsten Aufräumen sofort entfernt, Seiten aus HTTP-Cache oder CDN liefen auf 404. Die geplante Aufgabe theme.delete_files arbeitet jetzt zweistufig: Erst markiert sie ein ungenutztes Verzeichnis mit einer Datei .retired, sofern alle Dateien älter als 24 Stunden sind, bei einem späteren Lauf löscht sie es, sobald die Markierung mindestens 24 Stunden alt ist; mit dem täglichen Intervall also 24 bis 48 Stunden nach dem Umschalten. Ein wieder aktiviertes Verzeichnis (etwa theme:change --no-compile) verliert die Markierung, ein Verzeichnis mit laufender Kompilierung bleibt unangetastet. theme:compile und theme:change räumen nicht mehr selbst auf, das hatte 6.7.14.0 eingeführt; --no-cleanup ist veraltet, ohne Wirkung und fällt mit 6.8.0.0 weg, also aus Deploy-Skripten entfernen. Da das Aufräumen nur noch über die geplante Aufgabe läuft, passiert ohne laufende Scheduled Tasks nach unserer Lesart nichts mehr.
• GARAN in Mail-Vorlagen Die Bestellbestätigung liest das Label aus der neuen Template-Variable garanLabels; der Twig-Filter sw_garan_label_mail aus 6.7.15.0 ist veraltet. In angepassten Vorlagen nestedItem.productId|sw_garan_label_mail(context) durch garanLabels[nestedItem.productId] ?? null ersetzen, in der Textfassung lineItem.productId|sw_garan_label_mail(context) durch garanLabels[lineItem.productId] ?? null. garanLabels wird an jede Mail-Vorlage übergeben, die die Variable referenziert und ein order in ihren Daten hat. Laut der Changelog-Datei zur parallelen 6.6er-Änderung setzt GaranLabelMailSubscriber die Variable auf MailBeforeValidateEvent, damit Vorlagen bei einem Blue-Green-Deployment keinen Filter brauchen, den Knoten mit älterem Code nicht kennen; der Filter funktioniert demnach weiter. Eine Migration schreibt die Vorlage nur in Shops neu, die sie nie bearbeitet haben.
• Digitale Produkte maxPurchase gilt wieder; fehlt der Wert, etwa bei per API angelegten Produkten, greift core.cart.maxQuantity. Für ein Stück pro Bestellung maxPurchase auf 1 setzen.
• Verkaufskanäle Typen außer Storefront und Headless (Produktvergleich, Agentic Commerce, Typen aus Erweiterungen) werden nicht mehr mit SYSTEM__NO_GIVEN_DEFAULT_CURRENCY_ID abgewiesen, wenn die Standardwährung nicht in der Währungsliste steht. Storefront und Headless brauchen sie weiterhin.
• Gewährleistungshinweis Neue Systemkonfiguration core.cart.showLegalGuaranteeNoticeInline, wirksam nur bei aktivem core.cart.showLegalGuaranteeNotice. Platzierung über die Blöcke page_checkout_confirm_legal_guarantee_notice_inline und page_checkout_confirm_legal_guarantee_notice_inline_bottom.
• Upgrade-Hinweise UPGRADE-6.7.md enthält zu 6.7.15.1 keinen eigenen Abschnitt.

Das ändert sich im Shop-Alltag

• Umlaute in Dateinamen bleiben erhalten Beim Hochladen von Bildern und anderen Medien hat Shopware bisher Umlaute und andere Sonderzeichen aus dem Dateinamen entfernt, aus „Erdmännchen.jpg“ wurde „Erdmnnchen.jpg“. Jetzt bleiben sie stehen. Entfernt werden nur noch unsichtbare Steuerzeichen; Dateinamen mit kaputter Zeichenkodierung lehnt Shopware ab.
• Umlaute in Links und Bildadressen Auf manchen Servern hat Shopware Umlaute in Links und Bildadressen falsch umgewandelt, die Adresse stimmte dann nicht mehr. Betroffen waren laut Shopware Server, deren Systembibliothek bestimmte Zeichen als Steuerzeichen behandelt. Das ist behoben; Adressen, die schon einmal umgewandelt wurden, werden außerdem nicht ein zweites Mal umgewandelt.
• GARAN-Label in der Bestellbestätigung Dieselbe Änderung wie in 6.7.15.1: Die Mail-Vorlage bekommt die Labels fertig mitgeliefert, damit die Bestellbestätigung laut Shopware auch dann sauber rausgeht, wenn während eines Updates alte und neue Server gleichzeitig laufen. Der Baustein aus 6.6.10.28 funktioniert laut Shopware weiter; Shopware empfiehlt aber, selbst angepasste Vorlagen auf die neue Variante umzustellen, siehe Entwicklerteil. Shops mit unveränderter Standardvorlage bekommen das automatisch.
• Weiterleitungen bei App-Anfragen Leitete der Server einer App eine Anfrage von Shopware weiter, nahm Shopware laut eigener Angabe die Parameter der ursprünglichen Anfrage mit und überschrieb damit die des Ziels. Jetzt überlässt Shopware die Weiterleitung der eingebauten Standardfunktion dafür, wie in der 6.7er-Reihe bereits. Das dürfte nur Shops mit Apps betreffen, deren Server Anfragen weiterleiten.
• Protokoll für Systemaktivitäten Shopware schreibt jetzt mit, wer Benutzer oder Integrationen anlegt und wer Plugins und Apps hochlädt, installiert, aktualisiert, aktiviert, deaktiviert oder entfernt, jeweils mit der Angabe, ob ein Benutzer, eine Integration oder das System selbst dahintersteckt. Passwörter und geheime Schlüssel werden nicht mitgeschrieben. Die Einträge landen standardmäßig in denselben Protokollen wie die bisherigen Ereignisse.

Das sollten Sie vor dem Update prüfen

• Eigene Bestellbestätigungs-Mail Wer die Vorlage selbst gepflegt hat, passt den GARAN-Teil nach dem Update erneut an. Bei unveränderter Standardvorlage ist nichts zu tun.
• Dateinamen mit Umlauten Neue Uploads behalten ihre Umlaute. Wer eine Anbindung hat, die Dateinamen ohne Umlaute erwartet, etwa einen Export oder eine Bildsynchronisation, prüft das vorher.

Für Entwickler und angebundene Systeme

• URL-Kodierung UrlEncodingTwigFilter::encodeUrl() (Twig-Filter sw_encode_url und sw_encode_media_url) parst URLs mit GuzzleHttp\Psr7\Uri statt parse_url(); auf Plattformen, deren libc die Bytes 0x80 bis 0x9F als Steuerzeichen behandelt, wurden Zeichen wie Ä, Ö, Ü und ß zu %C3_. Jedes Pfadsegment wird einzeln dekodiert und neu kodiert: keine Doppelkodierung mehr, ein kodiertes %2F bleibt in seinem Segment, Benutzerinformationen in der Authority bleiben erhalten.
• Medien-Dateinamen MediaUploadController und MediaCreationSubscriber entfernen nur noch Steuerzeichen und unsichtbare Unicode-Formatzeichen (Zero-Width Space, Soft Hyphen, Bidi-Overrides). Upload, Umbenennen und Namensvergabe weisen Dateinamen, die kein gültiges UTF-8 sind, mit CONTENT__MEDIA_ILLEGAL_FILE_NAME ab.
• GARAN in Mail-Vorlagen GaranLabelMailSubscriber übergibt die Labels auf MailBeforeValidateEvent als Variable garanLabels; die Bestellbestätigung liest daraus, der Filter sw_garan_label_mail funktioniert weiter. In angepassten Vorlagen nestedItem.productId|sw_garan_label_mail(context) durch garanLabels[nestedItem.productId] ?? null ersetzen, in der Textfassung lineItem.productId|sw_garan_label_mail(context) durch garanLabels[lineItem.productId] ?? null. garanLabels wird an jede Mail-Vorlage übergeben, die die Variable referenziert und ein order in ihren Daten hat. Migration Migration1790751498ReadGaranLabelFromMailTemplateData schreibt die Vorlage nur in Shops neu, die sie nie bearbeitet haben.
• App-System-HTTP-Client Laut Pull Request folgte PinningAppSystemHttpClient Weiterleitungen selbst und wandte dabei die query-Option der Ursprungsanfrage erneut an, was die Query des Ziels ersetzte. Die middlewarebasierte Implementierung aus 6.7 ist nach 6.6 zurückportiert: Guzzle folgt Weiterleitungen nativ, AppSystemHttpMiddleware prüft und pinnt jede Anfrage hinter der Redirect-Schicht; der eigene Client entfällt, dazu ein neuer Ausnahmepfad für blockierte Anfragen und Anpassungen an der Prüfung vertrauenswürdiger URLs und privater IP-Adressen. Keine eigene Changelog-Datei.
• Systemaktivitäten SystemActivitySubscriber protokolliert auf dem Monolog-Kanal system_activity mit Level info: Anlegen von Benutzern und Integrationen, Upload, Installation, Update, Aktivierung, Deaktivierung und Entfernen von Plugins und Apps. Akteure sind user (userId, username), integration (integrationAccessKey) oder system für CLI und Hintergrundjobs; Plugin-Updates tragen previousPluginVersion, App-Entfernung keepUserData; null-Felder, Passwörter und geheime Schlüssel fehlen. Gespeichert wird standardmäßig in log_entry über den gepufferten Business-Event-Handler. Umleiten in config/packages/monolog.yaml; wer nur Business Events in der Datenbank behalten will, setzt die Kanäle des Handlers business_event_handler_buffer auf ['business_events'].
• Upgrade-Hinweise UPGRADE-6.6.md enthält zu 6.6.10.29 nur den GARAN-Abschnitt.

Das ändert sich im Shop-Alltag

• Neue Optik im Administrationsbereich Hauptmenü, Kopfzeile und Suchleiste sind überarbeitet, ebenso die Leiste mit den Schaltflächen oben auf jeder Seite. Laut Shopware sind Abstände, Schriftgrößen und die Gruppierung der Menüpunkte neu abgestimmt, und es ist schneller zu erkennen, in welchem Bereich Sie gerade sind. Dazu kommt ein Dunkelmodus: In den Profileinstellungen lässt sich laut Shopware wählen zwischen hell, dunkel oder der Vorgabe des Betriebssystems; Shopware bezeichnet die Funktion als experimentell. Was sofort auffällt: Die Symbole im Hauptmenü und in den Suchergebnissen sind nicht mehr bunt wie bisher, sondern einfarbig. Wer die bunten Symbole lieber mag, schaltet sie in den eigenen Profileinstellungen wieder ein (Einstellung für die Modulfarben); das gilt dann nur für den eigenen Benutzer.
• GARAN-Label in der Bestellbestätigung jetzt auch in Gmail und Outlook Seit 6.7.14.0 steht das Label in der Bestellbestätigung, allerdings in einem Grafikformat (SVG), das Gmail und Outlook in Mails nicht anzeigen. Jetzt bettet Shopware das Label als normales Bild (PNG) in die Mail ein. Außerdem hat das Label jetzt eine feste Größe und steht in der Spalte mit der Artikelbeschreibung der jeweiligen Bestellposition. Bisher stand es in einer eigenen Zeile über die ganze Breite der Mail, und manche Mail-Programme haben es laut Shopware stark vergrößert und abgeschnitten. Der Alternativtext, den Mail-Programme ohne Bildanzeige zeigen, ist jetzt übersetzt statt leer. Wie schon bei 6.7.14.0 gilt: Shopware passt die Mail-Vorlage nur dann automatisch an, wenn sie nie bearbeitet wurde. Wer eine eigene Vorlage nutzt, muss sie nach dem Update selbst anpassen, siehe die Prüfliste und den Entwicklerteil.
• Garantiedauer auf 50 Jahre begrenzt Im Feld für die Garantiedauer ließ sich bisher jeder Wert über 24 Monaten in Halbjahresschritten eintragen, auch 500 Jahre. Jetzt sind laut Shopware höchstens 600 Monate erlaubt, und das Eingabefeld im Administrationsbereich lässt nichts anderes mehr zu. Bereits gespeicherte höhere Werte bleiben erhalten, das Label wird weiter angezeigt. Korrigieren müssen Sie den Wert erst, wenn Sie das Produkt das nächste Mal speichern.
• GARAN-Label: lange Angaben bleiben in der Grafik Lange Texte passten laut Shopware bisher nicht immer an die dafür vorgesehenen Stellen auf dem Label: Eine lange Herstellernummer ragte rechts über den Rand hinaus, ein langer Markenname rutschte in die Modellbezeichnung, und eine Garantiedauer wie „2,5“ lag über dem Kalendersymbol. Jetzt wird die Schrift bei Bedarf schmaler gesetzt, damit der Text in seinen Bereich passt. Am Label selbst ändert sich nichts, sein Aussehen ist laut Shopware durch die EU-Verordnung vorgegeben. Diese Korrektur taucht nicht in den ausführlichen Release-Informationen auf, sondern nur in der Liste der enthaltenen Änderungen.
• Keine Doppelbestellung mehr aus einem Warenkorb Wurde derselbe Warenkorb fast gleichzeitig zweimal abgeschickt, etwa weil die Bestellabschlussseite in zwei Browser-Tabs offen war oder ein Klick wiederholt wurde, konnten bisher zwei Bestellungen entstehen. Shopware prüft jetzt beim Abschluss noch einmal, ob der Warenkorb überhaupt noch da ist, und lehnt die zweite Bestellung ab. Dazu passt eine Änderung auf der Produktseite: Der Kaufen-Button zeigt nach dem Klick eine kleine Ladeanzeige und lässt sich nicht erneut klicken, bis der Warenkorb aufgegangen ist. Ein ungeduldiger zweiter Klick legt das Produkt also nicht mehr doppelt in den Warenkorb.
• Individuelle Aktionscodes werden wieder frei Entfernen Sie eine Aktion aus einer Bestellung oder löschen Sie die Bestellung, kann der Kunde seinen individuellen Code wieder verwenden. Seit 6.7.0.0 galt ein einmal benutzter individueller Code dauerhaft als eingelöst, auch wenn Sie die Aktion wieder aus der Bestellung entfernt hatten. Das kommt laut Shopware oft vor, wenn eine Zahlung fehlschlägt und die Bestellung nachbearbeitet wird; bisher mussten Sie dem Kunden dann einen neuen Code erzeugen und zuschicken. In 6.6 hatte das schon funktioniert, jetzt wieder.
• Zweiter Code derselben Aktion Gibt ein Kunde im Checkout einen zweiten individuellen Code derselben Aktion ein, passierte bisher entweder gar nichts, oder es kam eine nichtssagende Fehlermeldung. Jetzt wird der zweite Code verworfen, und der Kunde bekommt einen klaren Hinweis, dass eine Aktion pro Bestellung nur einmal gilt. Der Hinweistext ist ein Textbaustein und lässt sich anpassen.
• Bestellbestätigung bei Bestellungen aus dem Administrationsbereich abwählbar Wer eine Bestellung im Administrationsbereich anlegt, findet im Schritt mit den Optionen einen neuen Schalter: Bestellbestätigung an den Kunden senden, ja oder nein. Er ist standardmäßig eingeschaltet, es ändert sich also nichts, solange Sie ihn nicht ausschalten. Ausgeschaltet wird die Bestellung ganz normal angelegt, nur die Mail an den Kunden bleibt aus. Bestellungen, die Kunden selbst im Shop aufgeben, sind davon nicht betroffen.
• Versandkosten: Brutto und Netto verknüpft In der Preismatrix einer Versandart gibt es je Währung jetzt ein Preisfeld mit Brutto und Netto statt zwei einzelner Zahlenfelder. Über das Schloss-Symbol lassen sich beide koppeln: Dann rechnet Shopware den Nettopreis aus dem Bruttopreis und dem Steuersatz der Versandart aus. Neue Preise sind von Anfang an gekoppelt, bei bestehenden bleibt es so, wie sie gespeichert sind.
• Mehrere Erweiterungen auf einmal verwalten Unter „Meine Erweiterungen“ lassen sich jetzt mehrere Erweiterungen auswählen und in einem Schritt installieren, aktivieren, deaktivieren, aktualisieren oder deinstallieren. Jede Aktion ist nur anklickbar, wenn sie für mindestens eine der ausgewählten Erweiterungen Sinn ergibt, und zeigt an, wie viele davon betroffen sind. Es gelten dieselben Rechte wie beim Bearbeiten einer einzelnen Erweiterung. Wer nichts auswählt, sieht die Liste wie bisher.
• Neue Dokumentenerzeugung zum Testen Shopware hat die Technik, mit der Rechnungen, Stornorechnungen, Lieferscheine und Gutschriften erzeugt werden, neu entwickelt. Aus einem Dokument entstehen laut Shopware auf einmal mehrere Dateiformate: HTML, PDF, ZUGFeRD-XML und PDF mit eingebettetem ZUGFeRD-XML, alle aus denselben Daten und mit derselben Dokumentnummer. Welche Formate Sie brauchen, legen Sie je Dokumenttyp fest. ZUGFeRD ist damit kein eigener Dokumenttyp mehr, sondern ein Format von Rechnung, Stornorechnung und Gutschrift. Bei jeder Erzeugung merkt sich Shopware den Stand der Bestellung, ein Dokument zeigt also immer das, was zu diesem Zeitpunkt in der Bestellung stand. Die Firmenangaben auf den Dokumenten (Name, Adresse, Steuer- und Bankdaten, Logo) ziehen um in einen neuen Bereich unter Einstellungen > Stammdaten und gelten dort je Verkaufskanal statt je Dokumenttyp. Die bisherigen Angaben werden nicht automatisch übernommen. Solange der neue Bereich leer ist, nimmt Shopware weiter die alten Angaben aus den Dokumenteinstellungen; sobald aber auch nur ein Feld ausgefüllt ist, ignoriert Shopware die alten Angaben laut eigener Aussage komplett. Wer anfängt, sollte den Bereich also gleich vollständig ausfüllen. Fehlt Name, Straße, Postleitzahl, Ort oder Land, bricht Shopware mit einer verständlichen Fehlermeldung ab, statt ein unvollständiges Dokument zu erstellen. Wichtig: All das ist nur aktiv, wenn ein Entwickler es per Konfiguration (Feature-Flag) einschaltet. Sonst läuft alles wie bisher, und laut Shopware können Sie jederzeit wieder zurück. Der Zeitplan laut Shopware: in 6.7 freiwillig, mit 6.8 Standard, mit 6.9 wird die alte Erzeugung entfernt. Für den Live-Shop ist das nach unserer Einschätzung noch nichts, für einen ersten Blick auf einem Staging-System schon.
• Dynamische Produktgruppen folgen jeder Änderung an den Bedingungen Bisher hat Shopware die Produkte einer Gruppe nur neu zusammengestellt, wenn eine Bedingung hinzukam, nicht wenn eine gelöscht, geändert oder verschoben wurde. Regeln, Aktionen und Produkt-Exporte arbeiteten dadurch unter Umständen mit einem veralteten Stand der Gruppe. Jetzt wird bei jeder Änderung neu zusammengestellt. Eine Gruppe ohne Bedingungen ist damit leer, und ein Produkt-Export für so eine Gruppe bricht ab, statt den alten Stand zu exportieren.
• Produktpfad trotz versteckter Kategorie Die Pfadangabe oben auf der Produktseite (Breadcrumb) erscheint wieder, auch wenn die Hauptkategorie des Produkts, oder seine einzige Kategorie, in der Navigation ausgeblendet ist. Die Einstellung blendet die Kategorie jetzt nur noch im Menü aus, nicht mehr im Pfad. Gibt es mehrere Kategorien, nimmt Shopware weiterhin lieber eine sichtbare; inaktive Kategorien bleiben außen vor.
• Übersetzungen von App-Zahlungsarten bleiben erhalten Haben Sie Name oder Beschreibung einer Zahlungsart, die aus einer App stammt, selbst übersetzt, überschreibt ein App-Update diese Texte nicht mehr. Die Texte aus der App werden nur noch für Sprachen eingesetzt, für die Sie keine eigene Übersetzung hinterlegt haben.
• Leere Felder lassen sich speichern Manche Felder dürfen leer sein, ließen sich im Administrationsbereich aber nicht leeren: Beim Speichern kam die Meldung, der Wert dürfe nicht null sein. Das betrifft die Textbausteine, auch die von Apps: Ein geleerter Textbaustein speichert jetzt einen leeren Wert statt eines Fehlers.
• Update-Assistent empfiehlt Shopware CLI Der Update-Assistent im Administrationsbereich fragt jetzt nach der Update-Methode, bevor der Web-Installer startet. Shopware empfiehlt die Kommandozeile (Shopware CLI) für Entwickler und für betreute Hosting-Umgebungen; der Web-Installer bleibt aber verfügbar. Auf Systemen mit mehreren Servern (Cluster) bietet Shopware den Web-Installer nicht mehr an. Wer Updates ohnehin über die Kommandozeile oder einen automatisierten Ablauf einspielt, kann den Menüpunkt für Updates samt dem Hinweis auf ein verfügbares Update ganz ausblenden lassen, siehe Entwicklerteil.
• Kunden-Import prüft die Kundennummer Beim Import von Kunden prüft Shopware jetzt, ob die Kundennummer zum Muster des Nummernkreises im jeweiligen Verkaufskanal passt. Zeilen, bei denen das nicht stimmt, werden abgewiesen und landen in der Datei mit den fehlerhaften Datensätzen. Vor einem Import also entweder die Nummern in der Datei oder das Muster im Nummernkreis anpassen.
• Checkout und Kundenkonto Postleitzahlen prüft der Browser jetzt sofort beim Absenden des Formulars anhand des Musters, das für das Land hinterlegt ist; bisher kam die Meldung erst, wenn der Rest des Formulars in Ordnung war. Die Häkchen bei AGB und Widerruf und der Kommentar des Kunden bleiben erhalten, wenn eine Seite im Checkout neu lädt, etwa nach dem Wechsel der Zahlungsart. Schließt der Kunde den Browser, sind sie weg; bisher blieben sie dauerhaft gespeichert. Gelöscht werden sie außerdem, sobald der Warenkorb geleert, die Bestellung abgeschlossen oder der Kunde abgemeldet ist. Und wer im Kundenkonto die Zahlungsart einer bestehenden Bestellung ändert, sieht dort jetzt die Zahlungsart dieser Bestellung vorausgewählt und nicht mehr die, die zuletzt im Shop benutzt wurde.
• Datenschutz- und Gewährleistungshinweise Wenn Sie in den Einstellungen keine Pflicht-Checkbox für den Datenschutz verlangen, sind die Datenschutzhinweise an Kontakt- und Newsletterformularen und an Formularen mit AGB-Zustimmung jetzt als reiner Hinweis formuliert und nicht mehr so, als hätte der Kunde aktiv zugestimmt. Der gesetzliche Gewährleistungshinweis steht laut Shopware, sofern er eingeschaltet ist, jetzt auch unter Formularen, bei denen der Kunde die AGB bestätigt, zum Beispiel bei der Registrierung, und zwar unabhängig davon, ob die Datenschutz-Checkbox Pflicht ist. Im Checkout sind der AGB-Text und der Gewährleistungshinweis jetzt zwei getrennte Textbausteine statt einem gemeinsamen. Wer den gemeinsamen Baustein angepasst hatte, muss die Anpassung übertragen, siehe Prüfliste.
• Produktseite, Warenkorb und Suchmaschinen Bei den wesentlichen Merkmalen im Warenkorb werden jetzt auch Zusatzfelder vom Typ Auswahl, Entitätsauswahl und Preis angezeigt. Wer die Menge im Warenkorb mit den Pfeiltasten ändert, löst nicht mehr bei jedem Tastendruck ein Neuladen aus, sondern erst, wenn er das Feld verlässt oder mit Enter bestätigt. Und Suchmaschinen dürfen jetzt auch die verkleinerten Produktbilder (Thumbnails) abrufen; die Standard-Datei robots.txt erlaubt das.

Shopware Commercial Features

• Product Bundles Die Funktion hat laut Shopware die Beta-Phase verlassen. Kunden können innerhalb eines Bundles die passende Variante wählen und die Menge einzelner Bundle-Positionen anpassen.
• Copilot Der Modus „Copilot Agentic“ hat laut Shopware die Beta-Phase verlassen und unterstützt jetzt auch Advanced Search, B2B Budget Management, B2B Advanced Product Catalogs, Dynamic Access, Multi-Warehouse, Subscriptions und Product Bundles. Copilot lässt sich laut Shopware bestimmten Benutzerrollen zuweisen. Plugins und Apps können ihre Funktionen laut Shopware über die Schnittstelle MCP für Copilot zugänglich machen.
• Shopware Analytics Mit „Copilot Data Insights“ fragen Sie Copilot laut Shopware in normaler Sprache nach einer Kennzahl, übernehmen das Ergebnis ins Dashboard und stellen daraus eigene Dashboards zusammen.
• 3D-Dateien 3D-Dateien werden beim Hochladen laut Shopware automatisch verkleinert, ohne dass die Qualität leidet; zusammen mit dem 3D Preview Generator sollen sie so schneller in der Storefront laden.

Das sollten Sie vor dem Update prüfen

• Erweiterungen, die in das Hauptmenü, die Kopfzeile oder die Suchleiste eingreifen Mit dem Umbau hat Shopware einige Stellen entfernt, an denen Plugins bisher andocken konnten, und Teile der Gestaltung gestrichen. Plugins, die dort eigene Menüpunkte oder ein eigenes Aussehen einbringen, etwa einen Eintrag im Benutzermenü unten in der Seitenleiste, können laut Shopware nach dem Update kaputt aussehen oder ihr Aussehen verlieren. Fragen Sie vor dem Update beim Anbieter nach einer Version für 6.7.15.0 und klicken Sie den Administrationsbereich in der Staging-Umgebung einmal komplett durch.
• Eigene Bestellbestätigungs-Mail Wurde die Vorlage jemals bearbeitet, bleibt das GARAN-Label darin so, wie es war: ohne feste Größe und in einem Format, das Gmail und Outlook nicht anzeigen. Wer das Label auch bei Gmail- und Outlook-Empfängern zeigen will, tauscht nach dem Update den Abschnitt in der Vorlage aus, siehe Entwicklerteil.
• Angepasste Textbausteine und Theme-Vorlagen im Checkout Der gemeinsame Textbaustein für AGB und Gewährleistungshinweis ist durch zwei getrennte ersetzt; wer den alten angepasst hatte, verliert diese Anpassung nach dem Update. Für die Datenschutzhinweise ohne Checkbox gibt es neue Textbausteine. Und Themes, die die Länderauswahl in Adressformularen selbst aufbauen, verlieren die neue Postleitzahl-Prüfung im Browser, wenn sie nicht nachgezogen werden. Details im Entwicklerteil.
• Dynamische Produktgruppen Weil Shopware die Gruppen jetzt auch nach gelöschten oder geänderten Bedingungen neu zusammenstellt, können nach dem Update andere Produkte in einer Gruppe stehen als vorher, und damit ändert sich auch, was Regeln, Aktionen und Produkt-Exporte mit dieser Gruppe machen. Gruppen ohne gültige Bedingungen sind leer, Exporte dafür brechen ab. Nach dem Update die wichtigsten Gruppen und Exporte einmal ansehen.
• Themes mit mehrstufiger Vererbung Baut Ihr Theme auf mehreren anderen Themes auf, übernimmt es jetzt die Textbausteine von allen. Hat eines der Themes dazwischen einen Text festgelegt, der bisher unter den Tisch fiel, kann sich dieser Text in der Storefront ändern.
• Kunden-Import Vor dem nächsten Import die Kundennummern gegen das Muster des Nummernkreises prüfen, sonst landen die Zeilen in der Fehlerdatei.

Für Entwickler und angebundene Systeme

• Dokumentenerzeugung v2 Aktiv nur mit dem Feature-Flag DOCUMENT_GENERATION_REWORK; das Flag schaltet alle Shopware-eigenen Wege um (Dokumentbereich der Bestellung, Flow-Builder-Aktionen, Mail-Anhänge, Massenbearbeitung, Download-Routen für Kunden). Neue Routen unter /api/_action/order/document-v2/ (create, upload, preview, download/{format}, download-archive, available-types) sind unabhängig vom Flag erreichbar. Plugins registrieren Typen, Datenlieferanten und Renderer über die Tags shopware.document_v2.type, shopware.document_v2.provider und shopware.document_v2.renderer; die alten Tags document.renderer und document_type.renderer und Decorator des alten DocumentGenerator werden von v2 nicht aufgerufen. Twig-Overrides der @Framework/documents/*.html.twig funktionieren weiter. Neue Ereignisse document.generation.completed und document.generation.deleted, beide als Auslöser im Flow Builder wählbar und für alte wie neue Pipeline. Apps registrieren Dokumenttypen über den Manifest-Block , dazu ein Script-Hook document-generation. Firmenangaben liegen in der Konfigurationsdomäne core.basicInformation je Verkaufskanal; fehlen Pflichtfelder, antwortet die Erzeugung mit DOCUMENT_V2__CONFIG_MISSING_REQUIRED_FIELDS. Doppelte Dateinamen-Infixe werden mit DOCUMENT_BASE_CONFIG_DUPLICATE_FILENAME_INFIX abgewiesen. document.orderId und orderVersionId sind jetzt optional. Die alten Klassen unter Shopware\Core\Checkout\Document tragen das neue Attribut #[ExperimentalReplacement] (noch keine Deprecation), die Admin-Dienste und Modals der alten Erzeugung sowie die Entitäten document_type und document_type_translation sind bereits mit @deprecated tag:v6.9.0 markiert.
• Admin-Oberfläche Entfernte Twig-Blöcke in sw-admin-menu (unter anderem sw_admin_menu_toggle_sidebar* sowie sw_admin_menu_user_actions, _user_actions_label und _user_actions_list), sw-admin-menu-item, sw-version, sw-search-bar (sw_search_bar_version_display) und sw-sales-channel-menu. sw_admin_menu_user_actions_items rendert jetzt in einem mt-action-menu; Overrides mit müssen auf mt-action-menu-group und mt-action-menu-item umgestellt werden. In sw-page gibt es den neuen Block sw_page_top_bar, sw_page_top_bar_actions liegt nicht mehr in sw_page_search_bar, und die Smart Bar ist jetzt ein
  . Das CSS für .smart-bar__back-btn ist weg. sw-page und sw-meteor-page sind CSS-Container (container-type: inline-size), position: fixed in Plugin-Inhalten bezieht sich damit auf die Seite statt auf das Fenster. ui.sidebar.close() im Extension SDK schließt asynchron mit rund 400 ms Animation. Der Textbaustein global.sidebar.buttonCollapse und das Asset static/img/error-pages/app-error.svg sind entfernt. Die Modulfarbe aus Module.register() wird weiter ausgewertet, aber nur noch, wenn der Benutzer die Modulfarben eingeschaltet hat (core.userModuleIconColors).
• Preismatrix der Versandarten sw-price-field je Währung statt zweier Zahlenfelder. Overrides von sw_settings_shipping_price_matrix_price_grid_currencies_list und Styles für die entfernte Klasse .sw-settings-shipping-price-matrix__price-input müssen angepasst werden; die name-Attribute der Eingabefelder sind unverändert.
• Browser-Login für CLI-Werkzeuge Die Admin API unterstützt den OAuth-2.0-Authorization-Code-Grant mit PKCE für registrierte öffentliche Clients. Neue Routen GET /api/oauth/authorize, GET /api/oauth/authorize/info und POST /api/oauth/authorize, dazu grant_type=authorization_code an POST /api/oauth/token; Codes sind einmalig, Refresh-Tokens rotieren. Die Zustimmungsseite liegt im Administrationsbereich unter #/oauth/authorize. shopware-cli ist als Client vorregistriert, eigene Clients kommen unter shopware.api.oauth_clients, die Lebensdauer der Codes steuert shopware.api.auth_code_ttl (Standard PT5M). Decorator von ClientRepository oder ScopeRepository sollten den neuen Grant kennen.
• MCP Toolsets lassen sich beim Verbinden in der URL nennen (/api/_mcp?toolsets=order,media oder all); das ändert nur die Sichtbarkeit, nicht die Rechte. Shopware läuft auf symfony/mcp-bundle 0.13 mit mcp/sdk 0.8, beide Server werden deklarativ registriert. Die Tags shopware.mcp.* und shopware.store_api_mcp.* bleiben, die flachen Dienst-IDs sind weg: mcp.server heißt jetzt mcp.server.admin beziehungsweise mcp.server.store_api, entsprechend .builder, .registry und .session.store. Request-Handler für die Admin API hängen an mcp.admin.request_handler, ein Handler am globalen mcp.request_handler erreicht keinen Server. discovery.scan_dirs und mcp.pagination_limit sind entfernt (jetzt shopware.mcp.pagination_limit), das Kommando der Bundle-Seite heißt debug:mcp:native. Store-API-Sitzungen von vor dem Update werden nicht übernommen, Clients initialisieren einmal neu.
• Warenkorb und Checkout POST /store-api/checkout/order prüft innerhalb der Sperre, ob der Warenkorb noch gespeichert ist, und antwortet sonst mit 404 CHECKOUT__CART_TOKEN_NOT_FOUND. AbstractCartPersister hat dafür exists() bekommen, mit Standardimplementierung, die ab 6.8.0.0 abstrakt wird: eigene Persister vor dem Wechsel anpassen. GET|POST /store-api/checkout/cart lädt den Warenkorb nicht mehr doppelt, CartLoadedEvent feuert einmal; CartLoadRoute::load() nimmt den Warenkorb als optionales drittes Argument, Decorator sollten es durchreichen. Neuer Fehlercode CHECKOUT__CART_INVALID_CHILD_LINE_ITEM_QUANTITY für ungültige Mengen von Unterpositionen. Die Hilfsmethoden von PromotionCartInformationTrait sind veraltet, stattdessen $cart->addErrors(). POST /api/_action/order/{orderId}/product/{productId} baut die Position über die LineItemFactoryRegistry, Decorator einer LineItemFactoryInterface greifen damit auch beim Hinzufügen zu bestehenden Bestellungen.
• Store API und Caching sw-include-seo-urls ist jetzt Teil von Vary und des Cache-Schlüssels; eigene Cache-Schlüssel sollten den Header ergänzen. Mit dem Header kommen jetzt auch die SEO-URLs von Headless-Verkaufskanälen. sw-currency-id wird gegen die Verfügbarkeit im Verkaufskanal geprüft; veraltete gespeicherte Sprache oder Währung eines Context-Tokens wird verworfen und durch den Standard ersetzt. Bei aktivem CACHE_REWORK geben cachebare Lese-Antworten den sw-context-token nicht mehr zurück, Clients behalten ihr Token, solange keine Antwort ausdrücklich eines liefert. Ebenfalls mit CACHE_REWORK senden cachebare Antworten No-Vary-Search: key-order; der Wert ist je Policy unter headers.no_vary_search einstellbar, Parameter, die den Inhalt ändern (p, order, search, Filter), dürfen dort nie stehen. Die Routen unter /api/_action/sales-channel-file/ verlangen sales_channel_file:read, ungespeicherte Overrides zusätzlich sales_channel_file:update. Die Zeitlimits für Medien-Uploads per URL und externe Medien-Links sind über shopware.media.url_upload_timeout und shopware.media.external_link_timeout konfigurierbar.
• GARAN-Label in der Mail In einer angepassten Bestellbestätigung die Label-Zeile aus 6.7.14.0 durch das Markup aus src/Core/Migration/Fixtures/mails/order_confirmation_mail/en-html.html.twig ersetzen und dabei sw_garan_label_nested_uri gegen den neuen Filter sw_garan_label_mail tauschen; der Filter existiert erst ab 6.7.15.0, die Vorlage also erst nach dem Update anfassen. Die Migration schreibt die Vorlage nur in Shops neu, die sie nie bearbeitet haben. Die Dokumentenerzeugung v2 legt laut Upgrade-Hinweisen zu jedem Dokument zusätzlich eine HTML-Fassung ab, auch wenn nur PDF angefordert wurde.
• Storefront-Vorlagen und Textbausteine checkout.confirmTermsTextModalWithGuarantee ist ersetzt durch checkout.confirmTermsTextModal und checkout.confirmLegalGuaranteeNotice. Passive Datenschutzhinweise nutzen contact.privacyNoticeInformation und general.privacyNoticeInformation (plus die *TextModal-Varianten), Registrierung und Checkout-Registrierung nutzen account.registerSubmit und checkout.registerSubmit. Der Hinweis für den zweiten Aktionscode heißt checkout.promotion-not-eligible-already-added. Die Checkout-Angaben liegen im Session Storage, das Plugin CheckoutCustomerStorageReset hängt an data-checkout-customer-storage-reset; Themes, die den geleerten Warenkorb, die Bestellbestätigungsseite oder die Login-Seite ersetzen, sollten das Attribut behalten. Die Länder-Option braucht data-zipcode-pattern und data-check-zipcode-pattern. Die Zahlungsart auf /account/order/edit/{orderId} kommt aus page.selectedPaymentMethodId, der Context-Wechsel über frontend.account.edit-order.change-payment-method ist veraltet. AddToCartPlugin kennt loadingIndicatorPosition und das Ereignis removeLoader. Wesentliche Merkmale liefern im Payload einen optionalen Schlüssel display, nur für Positionen nach dem Update. Mit 6.8.0.0 bekommt der Footer semantische Elemente (h2, ul, li). Themes mit mehreren Vorfahren in configInheritance erben alle Textbausteine; theme.parent_theme_id zeigt auf den nächsten Vorfahren, theme:refresh wendet das an. Die Theme-Kompilierung mit StaticFileConfigLoader liest Laufzeitwerte, wenn eine Datenbank erreichbar ist, und läuft ohne weiter. robots.txt enthält Allow: /thumbnail/*?ts=.
• Übersetzungen und Installation translation:install --all installiert keine Pseudo-Sprachen mehr; ein vorhandenes „Acholi (Pseudo Language)“ lässt sich im Administrationsbereich oder über DELETE /api/_action/translation/{locale} entfernen. Neu ist --offline, das Sprachen aus bereits vorhandenen Dateien anlegt, ohne das Übersetzungs-Repository zu kontaktieren. Das Kommando legt Sprache und Snippet-Set jetzt auch dann an, wenn die Dateien aktuell sind, und beendet sich mit einem Fehlercode, wenn keine der angeforderten Sprachen installierbar ist; Skripte, die den Exit-Code prüfen, sind betroffen. system:install löst SystemInstallCompletedEvent aus, das Elasticsearch-Bundle legt darauf leere Indizes und Aliase an, sofern die Elasticsearch-Indexierung aktiv und der Cluster erreichbar ist.
• Datenbank und Zustandsautomat Bei konfigurierten Replikaten wechselt die Verbindung zwischen Anfragen wieder auf das Replikat zurück, auch in langlebigen Laufzeiten wie dem FrankenPHP-Worker-Modus; ein Worker kann dadurch zwei offene Verbindungen halten, ?keepReplica=0 an der DATABASE_URL stellt das alte Verhalten her. Mehrere Übergänge mit gleichem Aktionsnamen und Ausgangsstatus lösen jetzt deterministisch zum ältesten Übergang auf; solche Dubletten sind veraltet und werden mit 6.8.0.0 entfernt und per Unique-Constraint verhindert. Tags von Bestellungen und Kategorien sind jetzt versioniert; direkte Schreibzugriffe auf order_tag und category_tag ohne Versions-ID treffen die Live-Version.
• Weitere Erweiterungspunkte ProductConfiguratorLoader::loadFromCombinations(), CorsHeaderProviderInterface (Tag shopware.api.cors_header_provider) für eigene CORS-Header, IdSearchResult::getPrimaryKeyData(), JsonField::addPropertyMapping() für Entity-Extensions, ProductListingCollectSortingEvent zum Registrieren von Sortierungen zur Laufzeit, AbstractIncrementStorage::increaseToAtLeast(), country.advancedPostalCodePattern mit bis zu 1024 Zeichen. Das neue Attribut #[ExperimentalReplacement] ersetzt die vorzeitige Deprecation von Klassen, deren Nachfolger noch experimentell ist; die Klasse Feature wird mit 6.8.0.0 final. MailService setzt den Übersetzer jetzt selbst auf den Verkaufskanal der Mail; wer AbstractMailService ohne Aufruf des dekorierten Dienstes ersetzt, muss das nachbauen. Storefront-Textbausteine von Apps werden beim Installieren in das Übersetzungs-Dateisystem geschrieben, geänderte Texte kommen erst nach app:refresh mit erhöhter Manifest-Version an.
• Hosting und App-System Sitemaps werden auch für Headless-Verkaufskanäle mit externer Storefront-Domain erzeugt; sitemap:generate überspringt einen gerade gesperrten Kanal wieder mit Meldung, statt abzubrechen. shopware.auto_update.hide_module: true (oder SHOPWARE_AUTO_UPDATE_HIDE_MODULE=1) entfernt das Update-Modul samt Hinweis, die Update-Endpunkte antworten dann mit 403; auf Cluster-Systemen antwortet download-recovery ebenfalls mit 403. Mit der neuen Option shopware.app_system.enable_url_validation: false lässt sich die Zielprüfung für Apps und Webhooks abschalten (HTTPS-Pflicht, private Netze, DNS-Pinning); Standard ist true, die Entwicklungsumgebung wird mit false ausgeliefert, in Produktion bleibt die Prüfung an. Der Editor-Support für Komponenten im Native-Setup (.vue mit script setup) kommt jetzt aus composer admin:setup-extension-tooling, die kopierten Workspace-Vorlagen sind entfernt.

Das ändert sich im Shop-Alltag

• GARAN-Label in der Bestellbestätigung jetzt auch in Gmail und Outlook Bisher steckte das Label in einem Grafikformat (SVG) in der Mail, das Gmail und Outlook laut Shopware nicht anzeigen. Jetzt bettet Shopware es als normales Bild (PNG) ein. Die Garantiedauer steht außerdem als Text dabei: im Alternativtext, den Mail-Programme ohne Bildanzeige zeigen, und in der reinen Textfassung der Mail. Wie bei den vorherigen GARAN-Änderungen gilt: Shopware passt die Vorlage beim Update nur an, wenn sie nie bearbeitet wurde. Wer eine eigene Bestellbestätigung pflegt, muss den Baustein nach dem Update selbst tauschen, siehe Entwicklerteil.
• Gewährleistungshinweis wahlweise als vollständiger Text im Checkout Mit einer neuen Einstellung in den Warenkorb-Einstellungen steht der gesetzliche Gewährleistungshinweis im Checkout als kompletter Text unter den AGB, statt nur als Link, der ein Fenster mit dem Text öffnet. Standard bleibt laut Shopware der Link. Die Einstellung wirkt nur, wenn der Gewährleistungshinweis insgesamt eingeschaltet ist. Anlass war laut dem zugehörigen Fehlerbericht bei Shopware eine Einschätzung des Händlerbunds, nach der ein bloßer Link auf den Hinweis im Bestellprozess nicht ausreiche; ob und wie das für den eigenen Shop gilt, müssen Händler selbst beurteilen. Die 6.7er-Reihe bekommt diese Änderung laut GitHub erst mit 6.7.16.0, in 6.7.15.0 ist sie noch nicht drin.
• Gewährleistungshinweis auch bei der Registrierung Ist der Hinweis eingeschaltet, steht er laut Shopware jetzt auch unter dem Registrierungsformular beim Datenschutzhinweis, als kurzer Absatz mit demselben Link und Fenster wie im Checkout. Das gilt unabhängig davon, ob die Datenschutz-Checkbox Pflicht ist.
• GARAN-Label: lange Angaben bleiben in der Grafik Lange Texte passten laut Shopware bisher nicht immer an die dafür vorgesehenen Stellen auf dem Label: Eine lange Herstellernummer ragte rechts über den Rand hinaus, ein langer Markenname rutschte in die Modellbezeichnung, und eine Garantiedauer wie „2,5“ lag über dem Kalendersymbol. Jetzt wird die Schrift bei Bedarf schmaler gesetzt, damit der Text in seinen Bereich passt; die Modellbezeichnung wird dabei nicht abgeschnitten. Am Label selbst ändert sich nichts, sein Aussehen ist laut Shopware durch die EU-Verordnung vorgegeben. Bei sehr langen Angaben, Shopware nennt als Beispiel eine Dauer von „25,5“, ist die schmalere Schrift allerdings deutlich zu sehen.
• Gefilterte Produktlisten zeigen eine passende Variante Filtert ein Kunde eine Produktliste, etwa nach einer Eigenschaft wie der Farbe, nach Preis oder nach Hersteller, zeigt Shopware bei Produkten mit Varianten die festgelegte Hauptvariante nur noch dann, wenn sie zu allen gesetzten Filtern passt. Passt sie nicht, erscheint stattdessen eine Variante, die passt. Produkte, bei denen in Listen das Hauptprodukt angezeigt werden soll, zeigen weiterhin das Hauptprodukt. Die Einstellung, mit der Shopware in Suchergebnissen die am besten passende Variante zeigt, gilt wieder nur für die Suche. Ist sie eingeschaltet, zeigt eine gefilterte Liste laut Shopware zusätzlich lieber die passende Hauptvariante oder das Hauptprodukt als irgendeine passende Variante. Beschriftung und Hilfetext der Einstellung wurden entsprechend angepasst. Die 6.7er-Reihe bekommt diese Änderung laut GitHub erst mit 6.7.16.0, in 6.7.15.0 ist sie noch nicht drin.
• „Speichern und duplizieren“ bei neuen Produkten Beim Anlegen eines neuen Produkts zeigt der Administrationsbereich schon eine vorläufige Produktnummer. Wer laut Shopware auf „Speichern und duplizieren“ klickte, bevor das Produkt zum ersten Mal gespeichert war, bekam unter Umständen eine Fehlermeldung wegen einer doppelten Produktnummer, weil die Kopie dieselbe Nummer erhielt. Jetzt speichert Shopware zuerst das Original mit einer endgültigen Nummer und vergibt für die Kopie eine zweite.
• Bewertungssterne überdecken den Produktnamen nicht mehr In den Produktkacheln hatte der Bereich mit den Bewertungssternen laut Shopware eine feste Höhe. Wer die Schrift im Browser stark vergrößert, etwa auf 200 Prozent, bekam größere Sterne, aber keinen größeren Bereich: Die Sterne lagen dann über dem Produktnamen. Der Bereich wächst jetzt mit.

Das sollten Sie vor dem Update prüfen

• Eigene Bestellbestätigungs-Mail Wer eine eigene Vorlage nutzt und den Baustein nicht tauscht, bekommt das Label bei Gmail und Outlook weiterhin nicht zu sehen. Den Baustein direkt nach dem Update tauschen, nicht davor: Vor dem Update kennt Shopware den neuen Baustein noch nicht. Details im Entwicklerteil.
• Produktlisten mit Varianten und Filtern Wer sich darauf verlassen hat, dass in gefilterten Listen immer die festgelegte Hauptvariante erscheint, sieht dort nach dem Update unter Umständen andere Varianten. Nach dem Update eine Kategorie mit Varianten durchklicken, ein paar Filter setzen und prüfen, ob die Einstellung für die beste Variante noch passt; die betrifft jetzt nur noch die Suche.
• Theme-Anpassungen am Datenschutz-Baustein Wer die Vorlage des Datenschutzhinweises im Theme überschrieben hat, bekommt den Gewährleistungshinweis bei der Registrierung unter Umständen nicht angezeigt. Details im Entwicklerteil.

Für Entwickler und angebundene Systeme

• GARAN-Label in der Mail Neu sind GaranLabelInlineImage, das das Label als PNG aus dem Artwork unter src/Core/Framework/Resources/garan zusammensetzt, und GaranLabelMailSubscriber, der die referenzierten Label-PNGs auf MailBeforeSentEvent als Inline-Teile anhängt. Der neue Twig-Filter sw_garan_label_mail liefert die cid-Referenz des Bildes und die formatierte Garantiedauer. In einer angepassten Bestellbestätigung ist nach dem Update sw_garan_label_nested_uri durch sw_garan_label_mail zu ersetzen (vorher kennt Shopware den Filter nicht), Vorlage ist src/Core/Migration/Fixtures/mails/order_confirmation_mail/en-html.html.twig. Die Migration Migration1790078381EmbedGaranLabelInOrderConfirmationMail schreibt die Vorlage nur in Shops neu, die sie nie bearbeitet haben.
• Gewährleistungshinweis Neue Systemkonfiguration core.cart.showLegalGuaranteeNoticeInline, wirksam nur bei aktivem core.cart.showLegalGuaranteeNotice. In component/privacy-notice.html.twig gibt es die neuen Blöcke component_privacy_legal_guarantee_notice_paragraph, component_privacy_legal_guarantee_notice_modal, component_privacy_legal_guarantee_notice_modal_header und component_privacy_legal_guarantee_notice_modal_body; Themes, die die Vorlage komplett ersetzen, müssen sie nachziehen.
• Listing ProductListingLoader zeigt die Hauptvariante in gefilterten Listen nur, wenn sie alle aktiven Filter erfüllt; shouldLoadPreviews() ist so geändert, dass core.listing.findBestVariant wieder nur Suchergebnisse betrifft. LoadPreviewExtension hat die optionale Eigenschaft postFilters bekommen, damit Erweiterungen, die die Vorschau-Auflösung ersetzen, dieselbe Regel anwenden können. Beschriftung und Hilfetext in src/Core/System/Resources/config/listing.xml sind angepasst.
• GARAN-Artwork Laut Pull Request wird die Textanpassung in den Twig-Vorlagen über das SVG-Attribut textLength berechnet, nicht im PHP-Renderer, damit auch die direkt eingebundene SVG in der Storefront davon profitiert; textLength wird nur gesetzt, wenn ein Wert sonst überlaufen würde, dazu ein Clip-Path je Feld.
• Produkt duplizieren Laut Pull Request reicht die Produktdetailseite die vorläufige Nummer an das Klon-Modal weiter, reserviert bei Bedarf zuerst eine echte Nummer für das Original und erst dann eine zweite für die Kopie; der bisherige Fehler war CONTENT__DUPLICATE_PRODUCT_NUMBER.
• Bewertungssterne .product-rating nutzt min-height statt height. Backport von #20929.

Das ändert sich im Shop-Alltag

• Produkte und Aktionen lassen sich wieder duplizieren Beim Duplizieren schickte die Administration Werte mit, die Shopware seit dem Sicherheitsupdate vom 16. September gegen Schreibschutz prüft: beim Produkt die Anzahl der Varianten, bei der Aktion die Zähler, wie oft sie insgesamt und je Kunde eingelöst wurde. Die Kopie konnte deshalb mit einem Fehler abgewiesen werden. Jetzt geht das Duplizieren wieder durch. Die Produktkopie behält laut Shopware die richtige Variantenanzahl, und eine duplizierte Aktion beginnt mit null Einlösungen insgesamt und ohne Einlösungen je Kunde, statt den Zählerstand des Originals zu erben. Damit ist die Frage aus unseren Einträgen zu 6.7.14.2 und 6.6.10.26 beantwortet: Die 6.6er-Reihe war von dem Fehler ebenso betroffen.
• GARAN-Label in der Bestellhistorie In der Bestellübersicht des Kundenkontos griff das Label bisher auf einen Verweis zu, der bei Bestellpositionen ins Leere laufen konnte. Laut Shopware konnte ein ungültiger Verweis die Bestellhistorie unbrauchbar machen. Bei Bestellpositionen wird jetzt die Produkt-ID verwendet, im Warenkorb bleibt es beim bisherigen Verweis. Bestellpositionen ohne verknüpftes Produkt, etwa nach dem Löschen eines Artikels, zeigen kein Label.
• Twig 3.29 Shopware stellt die Kompatibilität mit der neuen Twig-Version sicher. Nach den Abhängigkeitsproblemen rund um 6.6.10.24 ist das der zweite Twig-Punkt innerhalb einer Woche.

Das sollten Sie vor dem Update prüfen

• Wer auf 6.6.10.25 oder 6.6.10.26 ist Das Duplizieren von Produkten und Aktionen kann dort fehlschlagen, und Kunden mit einem GARAN-Produkt in einer Bestellung können unter Umständen ihre Bestellhistorie nicht öffnen. Beides spricht dafür, nicht auf das nächste Wartungsfenster zu warten. Das Release enthält nur drei Änderungen, das Risiko dürfte entsprechend klein sein.
• Wer noch unterhalb von 6.6.10.25 ist Direkt auf 6.6.10.27 gehen. Dieser Stand enthält die GARAN-Kennzeichnung aus 6.6.10.24, das Sicherheitsupdate vom 16. September, die Nachbesserungen aus 6.6.10.26 und die beiden Korrekturen von hier.
• Eigene Vorlagen für Bestellpositionen Wer das Template für das GARAN-Label an Bestellpositionen überschrieben hat, sollte die Änderung nachziehen. Details im Entwicklerteil.

Für Entwickler und angebundene Systeme

• Klonen Schreibgeschützte abgeleitete Felder (childCount beim Produkt, orderCount und ordersPerCustomerCount bei der Aktion) werden beim Klonen nicht mehr als ungültige Überschreibung abgewiesen. Das ist der Backport von #20575, der in 6.7 mit 6.7.14.2 ausgeliefert wurde.
• GARAN-Template storefront/component/line-item/element/garan-label.html.twig nutzt für Bestellpositionen jetzt productId und für Warenkorbpositionen weiterhin referencedId. Bestellpositionen ohne verknüpftes Produkt lassen das Label aus.
• Twig Kompatibilität mit twig/twig 3.29 hergestellt. Zusammen mit der in 6.6.10.26 angehobenen Mindestversion von squirrelphp/twig-php-syntax (^1.13.0) sollten die Paketkonflikte aus dem September damit erledigt sein.

Das ändert sich im Shop-Alltag

• Produkte lassen sich wieder duplizieren Beim Duplizieren schickte die Administration bisher die Anzahl der Varianten mit, ein Wert, den Shopware seit dem Sicherheitsupdate gegen Schreibschutz prüft. Die Kopie wurde deshalb mit einem Fehler abgewiesen. Jetzt geht das Duplizieren wieder durch, und die Kopie behält laut Shopware die richtige Variantenanzahl.
• Aktionen lassen sich wieder duplizieren, und die Kopie startet bei null Derselbe Fehler traf Aktionen, hier über die Zähler, wie oft eine Aktion insgesamt und je Kunde eingelöst wurde. Das Duplizieren funktioniert wieder, und dabei ändert sich ein Verhalten: Eine duplizierte Aktion übernimmt die Einlösungen des Originals nicht mehr, sondern beginnt mit null Einlösungen insgesamt und ohne Einlösungen je Kunde. Bisher erbte die Kopie den Zählerstand.

Das sollten Sie vor dem Update prüfen

• Wer auf 6.7.14.1 ist Solange das Update nicht eingespielt ist, kann das Duplizieren von Produkten und Aktionen fehlschlagen. Wer diese Funktion im Alltag braucht, sollte nicht auf das nächste Wartungsfenster warten. Das Release enthält nur diese eine Änderung, das Risiko dürfte entsprechend klein sein.
• Wer noch unterhalb von 6.7.14.1 ist Direkt auf 6.7.14.2 gehen. Dieser Stand enthält das Sicherheitsupdate vom 16. September, die GARAN-Kennzeichnung aus 6.7.14.0 und die Korrektur für das Duplizieren.
• 6.6er-Reihe Das Sicherheitsupdate 6.6.10.25 enthält dieselbe Absicherung beim Duplizieren. Ob dort derselbe Fehler auftritt, hat Shopware bislang nicht dokumentiert, und eine korrigierte 6.6er-Version liegt nicht vor. Wer auf 6.6.10.25 ist, sollte das Duplizieren einmal ausprobieren.

Für Entwickler und angebundene Systeme

• Ursache laut Shopware Beim Klonen mitgegebene Überschreibungen werden vor dem Einfügen gegen den Schreibschutz der DAL geprüft. Die Administration schickte weiterhin childCount beim Produkt sowie orderCount und ordersPerCustomerCount bei der Aktion als Überschreibung mit, was zu einem Verstöß gegen die Schreibbeschränkung führte.
• Neues Feld-Flag ResetOnClone Ein damit markiertes DAL-Feld wird beim automatischen Kopieren der Klon-Daten ausgelassen und fällt auf den Datenbank-Standardwert zurück; explizite Überschreibungen unterliegen weiterhin dem normalen Schreibschutz. orderCount und ordersPerCustomerCount der Aktion tragen das Flag jetzt. childCount beim Produkt wird weiterhin intern vom Backend kopiert.
• Schnittstellen Die Administration sendet die geschützten Felder nicht mehr als Überschreibung. Das Schema von Store API und Admin API bleibt laut der automatischen Prüfung im Pull Request unverändert. Wer über die Admin API selbst klont und dabei geschützte Felder mitschickt, läuft weiterhin in den Fehler; das ist gewollt.

Das ändert sich im Shop-Alltag

• Twig-Fehler nach 6.6.10.24 behoben Shopware hebt die Mindestversion des Pakets squirrelphp/twig-php-syntax auf 1.13 an, weil ältere Versionen mit den von Shopware benötigten Twig-Versionen nicht zusammenpassen. Nach unserer Einschätzung ist damit der Fehlerbericht erledigt, den wir im Eintrag zu 6.6.10.24 erwähnt haben. Wer das Update deswegen aufgeschoben hat, kann jetzt nachziehen.
• GARAN-Label in der Bestellbestätigung Das mit 6.6.10.24 eingeführte Label stand in der Bestellbestätigungs-Mail ohne Größenangabe in einer eigenen Zeile. Mail-Programme skalierten es laut Shopware auf die volle Breite und schnitten es ab. Jetzt hat es feste Maße, einen Alternativtext und sitzt neben der Bestellposition. Wie bei der ursprünglichen Änderung gilt: Die Migration passt nur Vorlagen an, die nie bearbeitet wurden. Wer eine eigene Bestellbestätigung pflegt und das Label übernommen hat, muss den Abschnitt selbst tauschen. Und ein Hinweis, den Shopware selbst gibt: Gmail und Outlook zeigen das Label in der Mail gar nicht an, weil es als eingebettete SVG-Grafik hinterlegt ist. Dort erscheint nur der Alternativtext; in der Storefront und im Kundenkonto bleibt das Label sichtbar.
• GARAN-Garantiedauer begrenzt und fehlende Angaben sichtbar Die Garantiedauer ist jetzt auf höchstens 600 Monate begrenzt, bisher ließ sich jeder Wert über 24 Monaten speichern. Bereits gespeicherte höhere Werte bleiben stehen und müssen erst beim nächsten Speichern des Produkts korrigiert werden. Neu ist außerdem ein Hinweis im Produkt: Ist das Label für die Storefront eingeschaltet, listet ein Banner auf, welche Voraussetzungen noch fehlen, also Garantiedauer zwischen 30 und 600 Monaten in Sechserschritten, Hersteller und Herstellernummer. Anders als in 6.7 begrenzt das Eingabefeld selbst den Wert bewusst nicht, weil das Feld in 6.6 Eingaben sonst stillschweigend abschneiden würde.
• GARAN-Label vererbt sich an Varianten Bisher übernahmen Varianten die Einstellung „Label in der Storefront anzeigen“ nicht vom Hauptprodukt, weil die Datenbankspalte immer einen eigenen Wert trug. Nach der Migration erben Varianten ohne eigene Einstellung den Wert des Hauptprodukts, so wie sie es bei der Garantiedauer schon taten. Varianten, bei denen das Label ausdrücklich ausgeschaltet war, behalten das. Wer sich darauf verlassen hat, dass Varianten das Label nie zeigen, während das Hauptprodukt es zeigt, muss den Schalter an diesen Varianten jetzt ausschalten.
• Mengen im Warenkorb Eine eingetippte Menge wird jetzt übernommen, sobald das Feld verlassen oder die Eingabetaste gedrückt wird, statt während des Tippens mit Verzögerung. Die Plus- und Minus-Schaltflächen behalten die gewohnte Verzögerung. Im Offcanvas-Warenkorb springt der Fokus nach einer Änderung wieder in das Mengenfeld zurück.
• Warenkorb-Zusatzfelder Die Felder für Produktnummer und Aktionscode im Warenkorb sind nicht mehr als Pflichtfelder markiert, das Feld für die Produktnummer hat eine sichtbare Beschriftung, und ein leer abgeschicktes Feld bekommt eine Meldung statt einer Suche ins Leere.
• Vimeo-Videos brauchen eine eigene Zustimmung Vimeo-Videos in Erlebniswelten hingen bisher am YouTube-Cookie. Jetzt gibt es einen eigenen Vimeo-Cookie, und Videos laden sofort nach der Zustimmung. Besucher, die nur dem YouTube-Cookie zugestimmt hatten, müssen dem Vimeo-Cookie einmal zustimmen, bevor Vimeo-Videos wieder erscheinen.
• Produktboxen mit Überschriften Der Produktname in Produktlisten kann jetzt als Überschrift ausgegeben werden, die Ebene lässt sich im Erlebniswelten-Element für Produktlisten wählen. Neu angelegte Elemente nutzen standardmäßig eine H2. Bestehende Elemente behalten ihre bisherige Ausgabe, bis das Layout in der Administration erneut gespeichert wird.
• Gefilterte Listen Die Einstellung, ob in Listen die am besten passende Variante angezeigt wird, gilt jetzt auch für Listen, die nach Varianten-Optionen oder Eigenschaften gefiltert sind. Ist sie ausgeschaltet, bleibt die im Produkt eingestellte Storefront-Darstellung (Hauptvariante oder Hauptprodukt) erhalten. Beschriftung und Hilfetext der Einstellung sind entsprechend angepasst.
• Barrierefreiheit Wieder ein großer Block. Zahlungs- und Versandarten im Checkout sind als Gruppen gekennzeichnet, Bewertungssterne und Bewertungsformular sind für Screenreader und Tastatur nutzbar, Zeitstempel bei Bewertungen haben mehr Kontrast, die Schaltflächen im Cookie-Hinweis bleiben bei starker Vergrößerung bedienbar, Dialoge und Offcanvas-Bereiche halten den Fokus, das Adressfenster im Checkout lässt sich auf kleinen Bildschirmen scrollen, der Kaufbereich und das Suchfeld melden sich korrekt an Hilfstechnik, und die Positionstabellen in reinen Text-Mails sind lesbarer.
• Kleinigkeiten Der Merkzettel bekommt ein eigenes Cookie-Fenster. E-Mails tragen eine Sprachangabe im Kopf. Der Dateityp von Mail-Anhängen wird korrigiert.

Das sollten Sie vor dem Update prüfen

• MySQL 8.4 Shopware fängt jetzt einen Fehler ab, durch den Migrationen auf MySQL 8.4 scheitern konnten, wenn ein Fremdschlüssel auf eine nicht eindeutige Spalte der Produkttabelle zeigt. Der Befehl wird laut Shopware einmal mit gelockerter Prüfung wiederholt. Auf MariaDB und älteren MySQL-Versionen ändert sich nichts. Wer ein Update auf 6.6.10.24 oder 6.6.10.25 wegen eines Migrationsfehlers abgebrochen hat, hat hier den wahrscheinlichen Grund.
• Eigene Bestellbestätigungs-Mail Siehe oben, das Label muss von Hand getauscht werden, wenn die Vorlage bearbeitet wurde.
• Varianten mit GARAN-Label Nach der Migration prüfen, ob Varianten das Label jetzt zeigen, bei denen das nicht gewollt ist.
• Vimeo in eigenen Theme-Überschreibungen Wer den Twig-Block für das Vimeo-Element überschreibt, muss den neuen Cookie-Namen eintragen, sonst bleibt das Element am YouTube-Cookie hängen. Details im Entwicklerteil.
• Duplizieren von Produkten und Aktionen Die Korrektur aus 6.7.14.2 ist nicht Teil dieses Releases. Ob die 6.6er-Reihe von dem Fehler betroffen ist, hat Shopware weiterhin nicht dokumentiert. Nach dem Update einmal ausprobieren.
• Angebundene Systeme, die Rollen über die API schreiben Die Rollen-Schnittstelle prüft verschachtelte Änderungen an Benutzern und Integrationen jetzt gegen die Rechte des Aufrufers. Ein Client braucht dafür die jeweiligen Benutzer- oder Integrationsrechte. Shopware führt den Punkt als Korrektur, ein Advisory gibt es dazu nicht.

Für Entwickler und angebundene Systeme

• Twig Mindestversion von squirrelphp/twig-php-syntax von ^1.11.0 auf ^1.13.0 angehoben; ältere Versionen überschreiben Twig-Interna mit Signaturen, die zu twig/twig ^3.26.0 nicht passen.
• MySQL 8.4 Neue Klasse NonStandardFkGuard führt Migrations-DDL aus und wiederholt sie einmal mit gelockertem restrict_fk_on_non_standard_key, wenn MySQL 8.4 den Befehl wegen des MySQL-Fehlers 118151 ablehnt. Eigene Migrationen können rohe DDL über MigrationStep::executeDdlStatement() durch den Guard leiten; die Methode ist als intern markiert, weil sie entfällt, sobald MySQL den Fehler behebt. Eine PHPStan-Regel markiert rohe ALTER TABLE-, CREATE INDEX- und DROP INDEX-Aufrufe in Core-Migrationen.
• GARAN GaranLabelProductValidator weist guaranteeMonths über 600 mit dem bestehenden Fehlercode INVALID_GARAN_GUARANTEE_MONTHS ab. Neuer Block sw_product_guarantee_form_requirements_notice im Formular, neues Ereignis sw-product-detail-save-success auf dem Admin-EventBus. Migration Migration1788531955MakeProductGuaranteeConfirmedInheritable macht product.guarantee_confirmed nullable, setzt Varianten mit dem Standardwert 0 auf NULL und stellt den Produktindexer in die Warteschlange. Migration Migration1788531858FixGaranLabelInOrderConfirmationMail spielt die Mail-Vorlage nur für unbearbeitete Vorlagen neu ein; für angepasste Vorlagen die Zeile durch das Markup aus src/Core/Migration/Fixtures/mails/order_confirmation_mail/en-html.html.twig ersetzen.
• Vimeo Neuer Cookie-Eintrag vimeo-video im CookieProvider. Wer element_vimeo_video_inner überschreibt, ergänzt cookieName: 'vimeo-video' in der pluginConfiguration. CmsGdprVideoElement._replaceElementWithVideo() ersetzt den Platzhalter nur noch, wenn der in options.cookieName genannte Cookie gesetzt ist; Consent-Integrationen, die das Ereignis CmsGdprVideoElement_replaceElementWithVideo auslösen, müssen den Cookie vorher setzen.
• Mengenfeld Eigene change-Listener am Mengenformular erhalten den fertigen Wert bei blur oder Enter; an Warenkorb-Mengenfeldern tragen die Ereignisse detail.submitImmediately: true. Neue Option submitOnFinish, neue Methoden cancel() und flush() an den Rückgabewerten von Debouncer.debounce().
• Themes DatabaseSalesChannelThemeLoader löst die verwendeten Themes jetzt aus parent_theme_id und der configInheritance-Liste auf; ein Theme mit mehreren Vorfahren in der theme.json erhält die Textbausteine aller.
• Produktlisten Neue Element-Konfiguration boxHeadlineLevel am Listing-Element; ProductListingLoader::shouldLoadPreviews() richtet sich nach core.listing.findBestVariant, hasOptionFilter() erkennt auch Post-Filter auf properties.id und propertyIds.
• Store API Produkte mit gemischten Zusatzfeldern (Preis- und Skalarfelder) werden unabhängig von der Reihenfolge einheitlich codiert.
• ACL-Rollen-Routen Verschachtelte Schreibvorgänge an Benutzern und Integrationen werden mit den Rechten des Aufrufers validiert.

Das sollten Sie vor dem Update prüfen

• Apps und angebundene Systeme, die Webhooks nutzen Webhooks sind automatische Meldungen, die Shopware bei bestimmten Ereignissen an andere Systeme schickt. Vier Ereignisse werden nicht mehr gemeldet: die Anforderung eines neuen Passworts für Administratoren und für Kunden sowie die beiden Mail-Ereignisse vor dem Versand und nach dem Erzeugen einer Nachricht. Im Flow Builder bleiben alle vier verfügbar. Apps, die auf eines dieser Ereignisse reagieren, lassen sich laut Shopware bis 6.8 weiterhin installieren und aktualisieren, bekommen dabei aber einen Hinweis, dass das ab 6.8 nicht mehr geht. Außerdem fehlen in den Daten, die andere Meldungen mitschicken, jetzt drei Werte: die Kennung der Kundensitzung beim Login, der Bestätigungslink bei Double-Opt-In und der Link bei der Newsletter-Anmeldung. Wer diese Werte in einem angebundenen System weiterverarbeitet hat, muss umbauen.
• Werkzeuge, die Benutzer oder Integrationen duplizieren Über die Admin API lassen sich Benutzer und Integrationen nicht mehr duplizieren. Solche Aufrufe bekommen einen Fehler 403.
• Headless-Frontends mit eigenen Auswertungen Die Store API liefert zu einer Abfrage auf Wunsch Auswertungen mit, Shopware nennt sie Aggregationen, zum Beispiel Zählungen je Filterwert. Die Namen solcher Auswertungen und die Bezeichnungen von Wertebereichen darin dürfen keinen Backtick, kein Fragezeichen, keinen Doppelpunkt und keine Steuerzeichen mehr enthalten. Solche Anfragen werden mit einem Fehler 400 abgewiesen.
• Newsletter-Anbindungen Ist Double-Opt-In eingestellt, wird eine Anmeldung nur noch nach der Bestätigung aktiv. Anbindungen, die Empfänger bisher direkt über die Store API aktiviert haben, dürften dieses Verhalten nach dem Update nicht mehr zeigen.

Die kritische Lücke

• Webhooks verrieten mehr, als der Empfänger sehen durfte – kritisch, CVSS 9,6 Shopware prüfte bei Webhooks nicht durchgängig, ob derjenige, der die Meldung eingerichtet hat, die Daten des Ereignisses überhaupt sehen darf. Ein Benutzer oder eine Integration mit dem Recht, Webhooks anzulegen, konnte so Kunden-, Bestell- und E-Mail-Daten sowie Daten aus Abläufen im Shop erhalten, die über die eigenen Rechte hinausgehen. In einzelnen Fällen waren laut Shopware auch Angaben dabei, mit denen sich Passwörter zurücksetzen lassen, was weitere Übernahmen ermöglichen konnte. Webhooks werden jetzt gegen die Rechte ihres Erstellers geprüft, Besitzer und Rechte eines Webhooks lassen sich nicht mehr unbefugt ändern, und die oben genannten Ereignisse und Werte gehen gar nicht mehr an Webhooks. Shopware hat den Punkt nach eigener Angabe intern gefunden.

Die weiteren vier Lücken

• Datenbank über die Store API auslesbar – hoch, CVSS 8,6 Ein Aufruf der Store API ohne Anmeldung konnte über unzureichend geprüfte Auswertungen (Aggregationen) Datenbankabfragen so verändern, dass sich beliebige Daten aus der Datenbank lesen ließen; der Fachbegriff dafür ist SQL-Injection. Voraussetzung ist laut Shopware eine PHP-Version vor 8.4 zusammen mit einer Einstellung des PHP-Datenbanktreibers, bei der PHP die Abfragen selbst zusammensetzt, statt sie von der Datenbank vorbereiten zu lassen. Einen Schreibzugriff hat Shopware nach eigener Angabe nicht nachweisen können. Im August hatte Shopware an derselben Stelle bereits eine ähnliche Lücke geschlossen. Nach unserer Einschätzung ist das hier eine zweite Variante davon.
• Vom eingeschränkten Benutzer zum Administrator – hoch, CVSS 8,1 Wer sich im Administrationsbereich anmelden und sein eigenes Profil bearbeiten durfte, konnte beim Speichern des Profils Angaben mitschicken, die eigentlich geschützt sind, und sich so selbst zum Administrator machen. Ein Recht zum Bearbeiten anderer Benutzer war dafür nicht nötig. Das Profil nimmt im Feld für das Profilbild jetzt nur noch einen Verweis auf ein Medium entgegen, alles andere wird mit einem Fehler 403 abgewiesen.
• Administratorrechte beim Duplizieren von Benutzern – mittel, CVSS 6,5 Ein angemeldeter Benutzer mit dem Recht, Benutzer anzulegen, konnte beim Duplizieren eines Benutzers geschützte Angaben mitschicken und so Administratorrechte erlangen. Laut Shopware kann das auch andere Datensätze betreffen, die sich duplizieren lassen. Das Duplizieren von Benutzern und Integrationen über die Admin API ist deshalb abgeschaltet worden.
• Newsletter-Anmeldung ohne Bestätigung – mittel, CVSS 5,3 Bei eingeschaltetem Double-Opt-In konnte ein Aufruf der Store API ohne Anmeldung ein Newsletter-Abonnement aktivieren, ohne dass der Besitzer der E-Mail-Adresse zugestimmt hat, auch für Adressen bestehender Kunden. Betroffen sind laut Shopware die Einwilligung und die Qualität der Empfängerliste, nicht Konten oder Kundendaten.

Betrifft mich das?

• Alle Shops Betroffen sind laut Shopware alle Versionen vor 6.6.10.25 und 6.7.0.0 bis einschließlich 6.7.14.0. Abgesichert sind 6.7.14.1 und 6.6.10.25.
• Ohne Anmeldung angreifbar Die Datenbankabfragen über die Store API, sofern der Shop mit PHP vor 8.4 läuft und die genannte Einstellung des Datenbanktreibers aktiv ist. Da sie bei PHP standardmäßig aktiv ist, dürfte die Voraussetzung nach unserer Einschätzung bei vielen Installationen auf PHP 8.2 oder 8.3 erfüllt sein. Dazu die Newsletter-Anmeldung ohne Bestätigung.
• Nur mit Konto angreifbar Die kritische Webhook-Lücke setzt einen Benutzer oder eine Integration mit dem Recht zum Anlegen von Webhooks voraus, die beiden anderen Punkte ein Konto im Administrationsbereich. Das Risiko liegt hier bei Mitarbeiterkonten mit eingeschränkten Rollen, bei Integrationen von Drittanbietern und bei Zugangsdaten, die schon einmal abgeflossen sind.
• 6.5er-Reihe und älter Laut Shopware sind auch diese Versionen betroffen. Eine abgesicherte Version gibt es für sie nicht, Shopware nennt nur 6.6.10.25 und 6.7.14.1. Ob das Shopware Security Plugin die fünf Punkte bereits abdeckt, geht aus den Release Notes nicht hervor.

Wenn Sie nicht sofort aktualisieren können

• Das Recht zum Anlegen von Webhooks auf vertrauenswürdige Administratoren und Integrationen beschränken, die vorhandenen Webhooks durchsehen und unerwartete Einträge entfernen.
• Auf PHP 8.4 wechseln oder die genannte Einstellung des Datenbanktreibers abschalten. Den technischen Namen finden Sie im Entwicklerteil unten.
• Rollen, die es nicht brauchen, das Recht zum Bearbeiten des eigenen Profils und das Recht zum Anlegen von Benutzern entziehen; Administratorkonten und Protokolle auf unerwartete Rechteänderungen durchsehen.
• Die öffentliche Newsletter-Anmeldung vorübergehend abschalten.

Für Entwickler und angebundene Systeme

• Webhooks user.recovery.request, customer.recovery.request, mail.before.send und mail.after.create.message werden nicht mehr ausgeliefert und sind aus der erzeugten Referenz der Webhook-Ereignisse entfernt. Ein Ereignis nimmt sich mit dem Attribut #[Shopware\Core\Framework\Webhook\NotHookable] aus der Auslieferung heraus. Aus den Nutzdaten entfallen contextToken bei checkout.customer.login, confirmUrl bei checkout.customer.double_opt_in_registration und checkout.customer.double_opt_in_guest_order sowie url bei newsletter.register. In Mail-Vorlagen funktionieren {{ contextToken }}, {{ confirmUrl }} und {{ url }} weiterhin. Ein Wert wird mit [EventDataCollection::HIDDEN_FROM_WEBHOOK => true] als Options-Argument von EventDataCollection::add() aus Webhook-Nutzdaten herausgehalten. Ab 6.8 weist Shopware App-Manifeste ab, die eines der vier Ereignisse abonnieren.
• Store API und Datenbank Die SQL-Injection greift laut Advisory nur bei PHP < 8.4 mit aktiviertem PDO::ATTR_EMULATE_PREPARES. Abhilfe ohne Update: PHP 8.4 oder PDO::ATTR_EMULATE_PREPARES auf false setzen.
• Aggregationen Aggregationsnamen und Schlüssel von Range-Aggregationen mit Backtick, Fragezeichen, Doppelpunkt oder Steuerzeichen werden mit 400 und FRAMEWORK__INVALID_AGGREGATION_QUERY abgewiesen.
• Profil PATCH /api/_info/me akzeptiert avatarMedia nur noch als {"id": ""}, jede andere Form wird mit 403 und FRAMEWORK__MISSING_PRIVILEGE_ERROR abgewiesen.
• Klonen POST /api/_action/clone/user/{id} und POST /api/_action/clone/integration/{id} antworten mit 403.
• Bestätigungs-Hashes Der Hash der Kundenregistrierung ist nicht mehr in API-Antworten und in Kunden-Nutzdaten von Webhooks enthalten. Der interne Bestätigungsablauf ist unverändert.
• Deprecation EventDataCollection wird mit Shopware 6.8 als final deklariert.

Die fünf Punkte in Kurzform

• Webhooks verrieten mehr, als der Empfänger sehen durfte – kritisch, CVSS 9,6 Webhooks sind automatische Meldungen, die Shopware bei bestimmten Ereignissen an andere Systeme schickt. Ein Benutzer oder eine Integration mit dem Recht, solche Meldungen anzulegen, konnte je nach Ereignis Kunden-, Bestell- und E-Mail-Daten sowie Daten aus Abläufen im Shop erhalten, die über die eigenen Rechte hinausgehen, in einzelnen Fällen laut Shopware auch Angaben, mit denen sich Passwörter zurücksetzen lassen. Webhooks werden jetzt gegen die Rechte ihres Erstellers geprüft.
• Datenbank über die Store API auslesbar – hoch, CVSS 8,6 Ohne Anmeldung ließen sich über die Store API Datenbankabfragen so verändern, dass beliebige Daten aus der Datenbank gelesen werden konnten (Fachbegriff: SQL-Injection). Voraussetzung ist laut Shopware eine PHP-Version vor 8.4 zusammen mit einer Einstellung des PHP-Datenbanktreibers, bei der PHP die Abfragen selbst zusammensetzt, statt sie von der Datenbank vorbereiten zu lassen. Einen Schreibzugriff hat Shopware nicht nachweisen können.
• Vom eingeschränkten Benutzer zum Administrator – hoch, CVSS 8,1 Wer sein eigenes Profil im Administrationsbereich bearbeiten durfte, konnte beim Speichern geschützte Angaben mitschicken und sich so selbst zum Administrator machen.
• Administratorrechte beim Duplizieren von Benutzern – mittel, CVSS 6,5 Wer Benutzer anlegen durfte, konnte beim Duplizieren eines Benutzers geschützte Angaben mitschicken und so Administratorrechte erlangen.
• Newsletter-Anmeldung ohne Bestätigung – mittel, CVSS 5,3 Bei eingeschaltetem Double-Opt-In ließ sich ein Abonnement aktivieren, ohne dass der Besitzer der E-Mail-Adresse zugestimmt hat, auch für Adressen bestehender Kunden.

Betrifft mich das?

• 6.6er-Reihe Betroffen sind laut Shopware alle Versionen unterhalb von 6.6.10.25.
• 6.7er-Reihe Betroffen sind 6.7.0.0 bis einschließlich 6.7.14.0, abgesichert ist 6.7.14.1.
• 6.5er-Reihe und älter Laut Shopware sind auch diese Versionen betroffen. Eine abgesicherte Version gibt es für sie nicht, Shopware nennt nur 6.6.10.25 und 6.7.14.1. Ob das Shopware Security Plugin die fünf Punkte bereits abdeckt, geht aus den Release Notes nicht hervor.
• Ohne Anmeldung angreifbar sind die Datenbankabfragen über die Store API unter der genannten Voraussetzung und die Newsletter-Anmeldung. Die drei anderen Punkte setzen ein Konto im Administrationsbereich oder eine Integration mit entsprechenden Rechten voraus.

Das sollten Sie vor dem Update prüfen

Das ändert sich im Shop-Alltag

• GARAN-Label und gesetzlicher Gewährleistungshinweis Produkte bekommen zwei neue Felder für eine freiwillige Herstellergarantie, die über die gesetzlichen zwei Jahre hinausgeht. Gepflegt werden sie in einer eigenen Karte auf der Produktdetailseite. Das GARAN-Label wird nur dann als Grafik ausgegeben, wenn die Garantie bestätigt ist und Dauer, Hersteller sowie Herstellernummer hinterlegt sind. Unabhängig davon gibt es den gesetzlichen Gewährleistungshinweis in allen 24 EU-Amtssprachen, mit Englisch als Rückfall. Er ist nach dem Update eingeschaltet und lässt sich unter Einstellungen > Shop > Warenkorb > Checkout abschalten. Das Label erscheint im Kaufbereich der Produktseite, an den Positionen im Warenkorb und im Checkout, der Hinweis als Fenster auf der Bestätigungsseite, verlinkt aus dem AGB-Text. Grundlage ist laut Shopware die Durchführungsverordnung (EU) 2025/1960. Ob und wie die Anforderungen auf das eigene Sortiment zutreffen, müssen Händler laut Shopware selbst beurteilen.
• Berechtigungen für Nummernkreise und Bestellungen Das Reservieren einer Nummer und die Vorschau eines Nummernkreises verlangen jetzt das Leserecht für Nummernkreise. Ohne Vorschau-Parameter zählt das Reservieren den Nummernkreis dauerhaft weiter, bisher konnte das jedes angemeldete Konto auslösen und damit Lücken in der Nummernfolge erzeugen. Ebenfalls geschützt sind jetzt die Endpunkte für das Neuberechnen und das Umwandeln von Bestellungen sowie die Prüfung, ob eine Benutzer-Adresse schon vergeben ist. Bestehende Rollen bekommen das nötige Recht per Migration, für Benutzer im Administrationsbereich ändert sich laut Shopware dadurch nichts. Integrationen mit eigener Rechteliste sind der Punkt, auf den es ankommt, dazu unten mehr.
• Versandarten brauchen eine nutzbare Preismatrix Eine aktive Versandart muss mindestens eine Zeile in der Preismatrix behalten, aus der sich Kosten ergeben. Das Löschen oder Leeren der letzten Zeile wird mit einem Fehler abgewiesen, ebenso das Aktivieren einer Versandart ohne Preis. Bei der Abfrage der verfügbaren Versandarten tauchen solche Methoden nicht mehr auf. Neu anlegen ohne Preise geht weiterhin.
• E-Rechnungen: Preisbasismenge korrigiert Bei ZUGFeRD-Rechnungen wurde bisher die Verkaufseinheit eines Produkts als Preisbasismenge eingetragen. Empfänger, die gegen die Norm prüfen, bekamen dadurch bei jeder Position mit einer Verkaufseinheit ungleich 1 einen Regelverstoß gemeldet. Positionen tragen jetzt immer die Basismenge 1, der Nettopreis wird mit vier statt zwei Nachkommastellen geschrieben.
• Barrierefreiheit in der Storefront Der größte Einzelblock im Release. Die aktive Seite in der Hauptnavigation und die aktive Kategorie werden jetzt an Screenreader gemeldet, die Fußzeile nutzt dafür passende HTML-Elemente, Symbole werden standardmäßig ausgeblendet, Meldungen beim Seitenaufruf und im Warenkorb-Offcanvas werden vorgelesen, der Merkzettel meldet Änderungen, der Fokus in der Cookie-Leiste setzt früher an, Beschriftungen in Formularen und im Offcanvas-Warenkorb wurden ergänzt und Beschriftungen auf Schaltflächen dürfen jetzt umbrechen. Das Basis-Captcha hat eine Bildbeschreibung und eine Beschriftung für die Schaltfläche zum Neuladen bekommen. In den Einstellungen steht jetzt ein Hinweis, dass das Basis-Captcha nicht als barrierefrei gilt.
• Sortierung „Beste Ergebnisse“ ist übersetzbar Die Bezeichnung dieser Sortierung kam bisher aus der Datenbank, ließ sich in der Administration nicht bearbeiten und existierte nur auf Deutsch und Englisch. Sie wird jetzt als Textbaustein ausgegeben und kann damit für jede Sprache gepflegt werden. Alle anderen Sortierungen bleiben wie sie sind.
• Produktslider aus dynamischen Produktgruppen Ist für den Verkaufskanal eingestellt, dass ausverkaufte Abverkaufsartikel ausgeblendet werden, gilt das jetzt auch für Slider, die ihre Produkte aus einer dynamischen Produktgruppe beziehen. Ausgeblendete Produkte belegen dabei keinen Platz mehr im Slider.
• Währungsauswahl Im Offcanvas wird die aktuell gewählte Währung wieder als Text angezeigt, und das Währungszeichen stimmt.
• Anmeldeversuche Die Antwortzeit bei einem fehlgeschlagenen Login ist angeglichen worden, damit sich aus der Dauer nicht ablesen lässt, ob eine Adresse im Shop registriert ist.
• Korrekturen an Bestellungen Bestellungen mit einem Versandrabatt lassen sich im Administrationsbereich wieder bearbeiten, ohne dass die Lieferpositionen verloren gehen. Merkmale gelöschter Varianten bleiben in der Bestellung sichtbar. Verlässt ein Mitarbeiter die Bestelldetailseite, wird die angelegte Entwurfsversion jetzt aufgeräumt. Außerdem behoben: der Warenkorb verlor beim Neuberechnen seinen gespeicherten Zustand.
• Aktionen und Rabatte Aktionsbedingungen mit „alle“ oder „keine von“ greifen jetzt auch dann richtig, wenn im Warenkorb noch gar keine Aktion liegt. Newsletter-Rabatte funktionieren für frisch registrierte Kunden, und Aktionscodes werden vor dem Vergleich vereinheitlicht.
• Kleinigkeiten Benutzer können ihre Zeitzone jetzt selbst ändern. In der Preismatrix von Versandarten starten Mengenstaffeln wieder korrekt und bleiben beim Bearbeiten synchron. Preisfelder je Währung laden alle Währungen. Die Auswahl der Indexe beim Leeren des Caches richtet sich nach den tatsächlich registrierten Indexern. Untertiteldateien im Format VTT dürfen hochgeladen werden.

Das sollten Sie vor dem Update prüfen

• Angebundene Systeme und Rechte Warenwirtschaft, Marktplatz-Anbindung oder eigene Skripte, die mit einer manuell gepflegten Rechteliste arbeiten, laufen auf einen Fehler 403, solange die neuen Rechte fehlen. Betroffen sind das Reservieren von Nummern, das Neuberechnen und Umwandeln von Bestellungen samt Bestelladressen und die Prüfung von Benutzer-Adressen. Klären Sie das vor dem Update mit dem Anbieter oder Ihrer Agentur.
• Angepasster AGB-Text im Checkout Die Bestätigungsseite nutzt für den Ankreuztext jetzt neue Textbausteine, die den Link auf den Gewährleistungshinweis enthalten. Wer den AGB-Text oder den zugehörigen Template-Block überschrieben hat, muss den Überschreiber anpassen oder die Einstellung abschalten.
• Eigene Bestellbestätigungs-Mail Die Migration ergänzt den Hinweis nur in Vorlagen, die nie verändert worden sind. Wer eine bearbeitete Vorlage nutzt und den Hinweis auch in der Mail zeigen will, muss ihn von Hand nachtragen. Der nötige Baustein steht im Entwicklerteil.
• Versandarten ohne Preis Aktive Versandarten mit leerer Preismatrix oder ohne Währungswerte werden nicht mehr als verfügbar geliefert und dürften damit auch im Checkout fehlen. Ein Blick in die Versandarten lohnt sich vorher.
• Twig-Abhängigkeiten Am 11. September ist im Shopware-Repository ein Fehlerbericht zu diesem Release eingegangen. Danach kann Composer twig/twig und squirrelphp/twig-php-syntax in einer Kombination auflösen, bei der Administration und Storefront mit einem schweren Twig-Fehler stehen bleiben. Shopware hat den Bericht mit hoher Priorität versehen, eine Korrektur lag bei Redaktionsschluss nicht vor. Spielen Sie das Update deshalb zuerst in der Staging-Umgebung ein und schauen Sie sich die aufgelösten Paketversionen an, bevor Sie produktiv gehen.

Für Entwickler und angebundene Systeme

• GARAN im Code Neu sind die Produktfelder guaranteeMonths und guaranteeConfirmed, beide vererbbar und über die Admin API schreibbar. guaranteeMonths muss leer oder größer als 24 und durch 6 teilbar sein. Dazu kommen die Twig-Filter sw_garan_label, sw_garan_label_nested, sw_garan_label_data_uri, sw_garan_label_nested_uri, sw_garan_label_duration, sw_legal_guarantee_notice und sw_legal_guarantee_notice_link. Für Headless-Frontends gibt es GET /store-api/product/{productId}/garan-label und GET /store-api/legal-guarantee-notice. Geschaltet wird der Hinweis über core.cart.showLegalGuaranteeNotice, auch je Verkaufskanal. In eine angepasste Bestellbestätigung gehört {{ context.languageId|sw_legal_guarantee_notice_link }}.
• ACL-Pflicht auf Admin-Endpunkten number_range:read für /api/_action/number-range/reserve/{type}/{salesChannelId} und /api/_action/number-range/preview-pattern/{type}. order:update für die Neuberechnungs-Endpunkte und die Checkout-Proxy-Routen, order_address:update für die Adress-Endpunkte, order:read für convert-to-cart, user:read für die Eindeutigkeitsprüfung von E-Mail-Adresse und Benutzername. Fehlt das Recht, antwortet Shopware mit 403 und FRAMEWORK__MISSING_PRIVILEGE_ERROR.
• Header sw-expect-packages Wird auf Routen ohne Authentifizierung nicht mehr ausgewertet, weil die Fehlermeldung installierte Paketversionen preisgab. Solche Aufrufe beantwortet Shopware jetzt mit 417 und FRAMEWORK__API_EXPECTATION_NOT_SUPPORTED. Ein Client, der den Header pauschal setzt, muss ihn für unauthentifizierte Aufrufe entfernen. Auf authentifizierten Admin-API-Anfragen bleibt das Verhalten gleich.
• Sync API Bei Löschvorgängen über Kriterien werden die Berechtigungen jetzt geprüft.
• Versandarten Der ShippingMethodValidator weist Schreibvorgänge ab, die eine aktive Versandart ohne nutzbaren Preis zurücklassen, Fehlercode active_shipping_method_without_price mit Status 400. Um eine Preismatrix zu entfernen, muss die Versandart in einem vorherigen Aufruf deaktiviert werden. In der ShippingMethodRoute filtert onlyAvailable=1 Methoden ohne auflösbaren Preis heraus, Anfragen ohne den Parameter sind unverändert.
• ZUGFeRD Die Preisbasismenge BT-149 ist jetzt immer 1 statt der purchaseUnit des Produkts, der Einzelpreis BT-146 wird mit vier Nachkommastellen geschrieben, damit die Positionssumme bei höheren Mengen in der Rundungstoleranz von PEPPOL-EN16931-R120 bleibt. Zusätzlich werden Nachlässe und Zuschläge auch bei steuerfreien Bestellungen ausgegeben.
• Sortierungen zur Laufzeit Das neue Ereignis ProductListingCollectSortingEvent wird ausgelöst, nachdem die verfügbaren Sortierungen geladen sind und bevor die angeforderte aufgelöst wird. Eine dort ergänzte ProductSortingEntity ist in der Storefront auswählbar und wird auf die Kriterien angewendet.
• Cache-Info GET /api/_action/cache_info liefert jetzt eine Liste der registrierten Indexer samt untergeordneter Updater. Indexer, die nur nach einem Update laufen, sind ausgenommen.
• Produktslider Der ProductSliderCmsElementResolver hat ein weiteres Konstruktor-Argument bekommen. Die Klasse ist als intern markiert.
• Sonstiges Der Produkt-Export nutzt für den Breadcrumb im Feed die konfigurierte Hauptkategorie. Die HTML-Filter lassen strong und em zu. In der Administration wird ein deaktiviertes Auswahlfeld einen noch nicht aufgelösten Wert nicht mehr los.

Das ändert sich im Shop-Alltag

• GARAN-Label und gesetzlicher Gewährleistungshinweis Produkte erhalten ein neues Feld für eine freiwillige Haltbarkeitsgarantie des Herstellers über die gesetzlichen zwei Jahre hinaus. Ist ein Hersteller hinterlegt und die Garantieangabe vollständig, rendert Shopware das EU-einheitliche GARAN-Label als Grafik. Unabhängig davon gibt es den gesetzlichen Gewährleistungshinweis in allen 24 EU-Amtssprachen, passend zur Sprache der Storefront und mit Englisch als Rückfall. Er lässt sich über eine Einstellung ein- und ausschalten. Beides erscheint auf der Produktseite, im Warenkorb, im Checkout und in der Bestellbestätigung. Grundlage ist laut Shopware die Durchführungsverordnung (EU) 2025/1960, eine Übergangsfrist gibt es demnach nicht. Der Hinweis gilt laut Shopware für alle Händler, die physische Waren an Verbraucher in der EU verkaufen, das Label nur für Produkte mit einer entsprechenden Herstellergarantie. Ob und wie die Anforderungen auf das eigene Sortiment zutreffen, müssen Händler laut Shopware selbst beurteilen. Ganz wichtig: Die Bestellbestätigungs-Mail wird nur dann automatisch ergänzt, wenn Sie die Vorlage nie verändert haben. Wer eine eigene Vorlage nutzt und die Hinweise auch in der Mail zeigen will, muss die beiden Bausteine von Hand nachtragen. Details dazu stehen im Entwicklerteil.
• Neuer Menüpunkt „Automatisierung“ Rule Builder und Flow Builder sind jetzt über einen eigenen Eintrag im Hauptmenü erreichbar. Die bisherigen Einträge unter „Einstellungen“ bleiben bestehen.
• Fertiger Ablauf bei fehlgeschlagener Zahlung Shopware liefert jetzt einen vorbereiteten Flow samt Flow-Vorlage und E-Mail-Vorlage für den Fall mit, dass eine Zahlung in den Status „fehlgeschlagen“ wechselt.
• Bestellstatus-Historie zeigt den Auslöser Im Administrationsbereich ist laut Shopware jetzt klarer zu sehen, was einen Statuswechsel ausgelöst hat. Ändert ein Kunde den Status über eine Aktion in der Storefront, steht in der Historie „Kunde“.
• Sprachen direkt im Administrationsbereich hinzufügen Mehr als 40 von der Shopware-Community gepflegte Übersetzungen lassen sich laut Shopware jetzt unter Einstellungen > Sprachen hinzufügen und aktuell halten, ohne Shell-Zugriff und ohne Plugin. Die tägliche Aktualisierung lässt sich pro Sprache abschalten, direkt auf der Detailseite der Sprache. Für die Sprachverwaltung gibt es neue Berechtigungen im Rollen-Editor.
• E-Rechnungen: Preisbasismenge korrigiert Bei ZUGFeRD-Rechnungen wurde bisher die Verkaufseinheit eines Produkts (das Feld aus der Grundpreisangabe) als Preisbasismenge eingetragen. Empfänger, die gegen die Norm EN 16931 prüfen, bekamen dadurch für jede Position mit einer Verkaufseinheit ungleich 1 einen Regelverstoß gemeldet, und Peppol-Zugangspunkte können solche Rechnungen abgelehnt haben. Positionen tragen jetzt immer die Basismenge 1, der Nettopreis wird mit vier Nachkommastellen geschrieben.
• Versandarten brauchen eine gültige Preismatrix Eine aktive Versandart muss mindestens einen Eintrag in der Preismatrix behalten, aus dem sich Kosten ergeben. Das Löschen des letzten Eintrags wird abgewiesen. In der Store API tauchen Versandarten ohne auflösbaren Preis bei der Abfrage verfügbarer Methoden nicht mehr auf.
• Cross-Selling über dynamische Produktgruppen Ein Cross-Selling zeigt nicht mehr das Produkt, auf dem es angezeigt wird. Bei Varianten wird die ganze Variantenfamilie ausgeschlossen, also die aktuelle Variante, das Hauptprodukt und alle Geschwister. Manuell zugewiesene Cross-Sellings bleiben wie sie sind.
• SEO-URLs werden nach einer Vorlagenänderung neu erzeugt Wer die Vorlage einer SEO-URL ändert, muss den Indexer nicht mehr von Hand starten. Die betroffenen URLs werden im Hintergrund in Paketen zu 250 neu erzeugt.
• Keine Fehlerseite mehr bei gescheitertem reCAPTCHA Schlägt Google reCAPTCHA bei einem Formular ohne AJAX fehl, sieht der Kunde jetzt einen Hinweis am Formular statt einer 403-Fehlerseite und kann es erneut versuchen.
• Sortierung „Beste Ergebnisse“ ist übersetzbar Die Bezeichnung dieser gesperrten Sortierung gab es bisher nur auf Deutsch und Englisch. Sie kommt jetzt aus einem Textbaustein und lässt sich für jede Sprache anpassen.
• Dokumente aus beiden Generatoren Dokumente, die mit der alten und der neuen Dokumentenerzeugung erstellt worden sind, lassen sich jetzt gegenseitig öffnen und herunterladen.

Shopware Commercial Features

• B2B Components Mitarbeiter anderer Unternehmen lassen sich einer Organisation zuweisen und dabei mit einer Rolle versehen, im selben Arbeitsschritt auch einer Organisationseinheit. Dazu kommt ein globaler Schalter, mit dem sich einzelne Funktionsbereiche der B2B Components ein- oder ausschalten lassen.
• Kauf auf Rechnung in Shopware Payments Als neue Zahlungsart steht Kauf auf Rechnung zur Verfügung, abgewickelt über Ratepay. Laut Shopware ist das die am zweithäufigsten genutzte Online-Zahlungsart in Deutschland. Wer Shopware Payments einsetzt, hat die Zahlungsart automatisch freigeschaltet bekommen.

Das sollten Sie vor dem Update prüfen

• Angebundene Systeme und Rechte Eine ganze Reihe von Admin-API-Endpunkten verlangt jetzt eine passende Berechtigung, wo bisher die reine Anmeldung reichte. Betroffen sind unter anderem das Reservieren von Nummernkreisen, das Neuberechnen von Bestellungen, die SEO-URL-Verwaltung, Medien-Uploads, die Nachrichten-Warteschlange und die Vorschau von Produkt-Exporten und E-Mail-Vorlagen. Für Benutzer im Administrationsbereich ändert sich laut Shopware in aller Regel nichts, die nötigen Rechte werden per Migration oder zur Laufzeit automatisch vergeben. Bei den Medien-Routen und den Vorschau-Endpunkten nennt Shopware allerdings auch Benutzer, die ihre Rolle anpassen müssen. Integrationen mit eigener Rechteliste, etwa eine Warenwirtschaft oder eine Marktplatz-Anbindung, bekommen dagegen einen Fehler 403, solange die Rechte nicht ergänzt sind. Klären Sie das vor dem Update mit dem Anbieter oder Ihrer Agentur.
• Eigene Bestellbestätigungs-Mail Ist die Vorlage jemals bearbeitet worden, fehlen GARAN-Label und Gewährleistungshinweis darin nach dem Update. Sollen sie dort erscheinen, müssen beide manuell ergänzt werden, siehe Entwicklerteil.
• Suchreihenfolge bei Elasticsearch Treffer, die den ganzen Suchbegriff in der richtigen Reihenfolge enthalten, werden jetzt höher gewichtet. Es werden dieselben Produkte gefunden, aber die Reihenfolge und die Punktwerte verschieben sich. Wer einen Mindestwert für Treffer eingestellt hat, sollte die Suche nach dem Update einmal durchprobieren.
• Versandarten ohne Preis Aktive Versandarten, deren Preismatrix leer ist oder keine Währungswerte enthält, werden bei der Abfrage verfügbarer Versandarten nicht mehr geliefert und dürften damit auch im Checkout fehlen. Vor dem Update lohnt ein Blick in die Versandarten.

Für Entwickler und angebundene Systeme

• GARAN in eigenen Mail-Vorlagen In eine angepasste Bestellbestätigung gehören {{ nestedItem.productId|sw_garan_label_nested_uri(context) }} und {{ context.languageId|sw_legal_guarantee_notice_link }}. Für die Storefront gibt es die Twig-Filter sw_garan_label, sw_garan_label_nested und sw_legal_guarantee_notice, für Headless-Frontends die Store-API-Routen /store-api/product/{productId}/garan-label und /store-api/legal-guarantee-notice. Der Hinweis lässt sich über core.cart.showLegalGuaranteeNotice schalten.
• XML-Konfiguration ist abgekündigt Symfony-Konfiguration aus XML-Dateien (services.xml, routes.xml, packages/**/*.xml) ist für Plugins, Bundles und das config/-Verzeichnis veraltet und funktioniert mit Shopware 6.8 nicht mehr, weil Symfony 8 die Unterstützung entfernt. Shopware meldet jetzt, welche Datei und welches Bundle betroffen ist. Migration nach services.php beziehungsweise routes.php, beide Formate können nebeneinander bestehen. Shopware-eigene XML-Formate wie config.xml oder App-Manifeste sind nicht betroffen.
• ACL-Pflicht auf Admin-Endpunkten Neu verlangt werden unter anderem number_range:read für das Reservieren von Nummern, order:update und order_address:update für die Neuberechnung und Umwandlung von Bestellungen, user:read für die Eindeutigkeitsprüfung von Benutzern, seo_url:update und seo_url:create, media:create und media:update für Medien-Routen, mail_template:update und product_export:update für Vorschau-Endpunkte sowie die neuen Rechte system:queue:process, increment:manage, system:app:change und flow:dispatch. Fehlt das Recht, antwortet Shopware mit 403 und FRAMEWORK__MISSING_PRIVILEGE_ERROR. Externe Worker sollten weiterhin die CLI-Befehle messenger:consume und scheduled-task:run nutzen, die sind nicht betroffen.
• Header sw-expect-packages Wird auf Endpunkten ohne Authentifizierung nicht mehr ausgewertet, weil die Fehlermeldung installierte Versionen preisgab. Betroffen sind unter anderem /api/oauth/token und der Health-Check. Ein Client, der den Header als Standard setzt, muss ihn für unauthentifizierte Aufrufe entfernen, sonst scheitert schon die Token-Anfrage mit 417.
• Plugin-Metadaten schreibgeschützt plugin.path und plugin.managedByComposer lassen sich nicht mehr über generische Admin-API-Schreibzugriffe ändern.
• Neuer App-Script-Hook cookie-group-collect Apps können Cookie-Gruppen und -Einträge per Script anpassen oder entfernen, etwa um Cookies einer nicht aktiven Zahlungsart auszublenden. Ältere Shopware-Versionen ignorieren den Hook einfach.
• Neue Store-API-Routen GET /store-api/snippet liefert aufgelöste Textbausteine für den aktuellen Verkaufskanal (experimentell, stabil geplant mit 6.8, mit ETag-Unterstützung), GET /store-api/shop-settings den nicht sensiblen Teil der Systemkonfiguration. Beides zielt auf Headless-Frontends.
• SEO-URLs für Headless-Verkaufskanäle Verkaufskanäle vom Typ API erzeugen jetzt SEO-URLs über eigene store-api.*-Vorlagen und lassen sich für Produkt-Exporte nutzen. Voraussetzung ist eine Domain, die als externe Storefront markiert ist.
• Vorlagenänderung an SEO-URLs löst Neuerzeugung aus Das gilt für jeden Schreibweg, auch für Sync-API und Deployment-Skripte. Wer seo_url_template bei jedem Deployment schreibt, sollte vorher den Wert vergleichen, sonst läuft jedes Mal eine volle Neuerzeugung.
• Vue Single File Components im Administrationsbereich Komponenten lassen sich jetzt als .vue-Datei mit schreiben und über swDefinePublic() und swDefineOverride() erweitern. Experimentell bis 6.8.
• MCP-Server ohne Feature-Flag Die Endpunkte /api/_mcp und /store-api/_mcp sind jetzt immer verfügbar, die Klassen bleiben bis 6.8 experimentell. Werkzeuge werden erst nach Anfrage angezeigt, Rechte für Assoziationen werden wie in der Admin API geprüft.
• Produkt-Export Die Paginierung läuft jetzt über einen Keyset-Cursor statt LIMIT/OFFSET, was den Timeout bei großen Katalogen beseitigt; getTotal() ist veraltet. Medien-URLs im Export-Body sind RFC-3986-kodiert, was Google-Merchant-Center-Feeds zugutekommt. --force erzeugt jetzt auch geplante Exporte neu.
• Weniger Deadlocks beim Indexieren Kategorie- und SEO-URL-Indexierung schreiben mit INSERT ... ON DUPLICATE KEY UPDATE statt REPLACE INTO und lesen Kinderzähler ohne Sperre. Keine Konfiguration nötig.
• Thumbnails media:generate-thumbnails --force erzeugt vorhandene Thumbnails neu, media:delete-local-thumbnails kennt --force und --orphans. Neue Einstellung shopware.cdn.path_cache_buster für stabile Medienpfade.
• Theme-Kommandos räumen auf theme:compile und theme:change löschen ungenutzte Theme-Verzeichnisse älter als 24 Stunden, was bisher nur eine geplante Aufgabe tat. --no-cleanup schaltet das ab. theme:create kennt --full und einzelne Optionen für das Grundgerüst.
• Storefront-Plugins PluginManager.override() funktioniert jetzt auch für asynchron geladene Plugins, PluginBaseClass bekommt eine destroy()-Methode. Jedes Erweiterungs-Bundle nutzt sein eigenes Webpack-Chunk-Global.
• Sonstiges Criteria::resetFields() und resetExcludedFields(), konfigurierbares Übersetzungssystem über shopware.translation, neue BC-Change-Attribute statt @deprecated reason:*, swagger-php 6.4, Polyfills als echte Abhängigkeiten, Retry bei MySQL-8.4-Migrationen, optionaler Clear-Site-Data-Header beim Kunden-Logout, SERVICE_REGISTRY_URL in Produktion auf Shopware-Domains begrenzt.

Das sollten Sie vor dem Update prüfen

• Apps, die Daten an andere Systeme melden Solche Meldungen (Webhooks) verschickt Shopware jetzt nur noch verschlüsselt und nur an öffentlich erreichbare Adressen. Solche Verbindungen brechen nach dem Update ab, solange sie nicht ausdrücklich freigegeben worden sind. Nach unserer Erfahrung betrifft das vor allem eigene Apps und direkt angebundene Systeme im internen Netz, seltener Erweiterungen aus dem Shopware Store.
• Die hinterlegte Shop-Adresse Der Link zum Zurücksetzen des Administrator-Passworts wird jetzt aus der konfigurierten Adresse gebildet (APP_URL) und nicht mehr aus der jeweiligen Anfrage. Steht dort nicht die öffentliche Adresse Ihres Shops, führt der Link ins Leere.
• Eigene Template-Anpassungen Wenn Ihr Theme oder ein Plugin die betroffenen Twig-Funktionen mit einem Funktionsnamen als Zeichenkette nutzt, kann es nach dem Update eine Fehlermeldung geben. Das dürfte nur wenige Shops betreffen, lässt sich aber schnell prüfen.

Die drei kritischen Lücken

• Ausbruch aus der App-Sandbox – kritisch, CVSS 9,6 Eine bösartige oder übernommene App konnte die Ausführungsbeschränkungen der App Scripts umgehen und beliebige PHP-Funktionen sowie Betriebssystem-Befehle ausführen. Laut Shopware waren dadurch der Zugriff auf Konfiguration und Zugangsdaten, Veränderungen an Dateien und der Zugriff auf interne Dienste möglich. Der Filter find und die Operatoren has some und has every weisen deshalb jetzt Zeichenketten-Callables ab, die nicht ausdrücklich freigegeben sind.
• Übernahme von Administrator-Konten – kritisch, CVSS 9,3 Der Ablauf zum Zurücksetzen des Administrator-Passworts prüfte den verwendeten Host nicht ausreichend. Ein Angreifer ohne Zugangsdaten konnte den Link in der Wiederherstellungs-Mail auf eine eigene Adresse lenken und darauf hoffen, dass ein Administrator ihn anklickt.
• SQL-Injection über Feldnamen aus App-Manifesten – kritisch, CVSS 9,1 Namen aus eigenen Entitätsdefinitionen wurden nicht ausreichend geprüft, bevor daraus Tabellen und Spalten wurden. Eine App konnte damit beliebiges SQL mit den Rechten der Datenbankverbindung ausführen.

Die weiteren sechs Schwachstellen

• SQL-Injection über die Store API – hoch, CVSS 8,6 Wer einen gültigen Zugriffsschlüssel eines Verkaufskanals besitzt, konnte über die Namen von Aggregationen eine Datenbankabfrage manipulieren. Shopware weist darauf hin, dass diese Schlüssel bei Headless-Anbindungen häufig offenliegen.
• Rechteausweitung über Rollenzuweisung – mittel, CVSS 6,5 Ein angemeldeter Administrator mit dem Recht, Benutzer zu bearbeiten, konnte sich selbst zusätzliche Rollen zuweisen und so Rechte erlangen, die ihm nicht zugedacht waren. Rechte-Rollen lassen sich jetzt nicht mehr über allgemeine Schreibzugriffe der Admin API anlegen oder ändern.
• Interne Dienste über den Medien-Import – mittel, CVSS 6,3 Über den Import von Medien per Adresse ließen sich Anfragen an Dienste im internen Netz auslösen. Die Prüfung der Zieladresse ließ sich durch einen Wechsel der Namensauflösung zwischen Prüfung und Verbindungsaufbau umgehen.
• Nicht freigegebene Produktbewertungen einsehbar – mittel, CVSS 5,3 Über verschachtelte Verknüpfungen in der Store API waren Inhalt, Bewertung und Anzeigename von Bewertungen abrufbar, die der Shop noch nicht freigegeben hatte. Dafür war keine Anmeldung nötig.
• Fehlendes Limit bei Gast-Dokumenten – niedrig, CVSS 3,7 Wer einen Dokumentenlink und die zugehörige E-Mail-Adresse hatte, konnte die abgefragte Postleitzahl unbegrenzt oft durchprobieren und so an Rechnungen und Lieferscheine gelangen. Jetzt greift dasselbe Limit wie bei Gast-Anmeldungen.
• Interne Dienste über das App-System – niedrig, CVSS 3,1 Derselbe Umgehungsweg wie beim Medien-Import, hier über Webhooks und die Schnittstellen für Zahlung, Steuern und Checkout. Vorausgesetzt ist eine bösartige oder übernommene App.

Zwei zusätzliche Absicherungen

• Dateiendungen bei Medien Wurde die Dateiendung über einen direkten Schreibzugriff gesetzt statt über einen Upload, umging sie bisher die Prüfung. Jetzt gilt in beiden Fällen dieselbe Positivliste.
• Sehr große Criteria Die Einschränkungen des Verkaufskanals greifen für die ersten 99 Knoten einer Criteria. Wurde diese Grenze überschritten, blieb der Rest bisher ungefiltert. Solche Anfragen werden jetzt abgewiesen, statt teilweise ungefilterte Daten zu liefern.

Für Entwickler und angebundene Systeme

• Twig Der Filter find sowie die Operatoren has some und has every weisen Zeichenketten-Callables ab, die nicht in shopware.twig.allowed_php_functions stehen. Für map, filter, reduce und sort galt das bereits. Pfeilfunktionen (v => ...) sind nicht betroffen.
• Webhooks Ziele werden vor jeder Anfrage und vor jeder Weiterleitung geprüft, verlangt werden HTTPS und eine öffentliche IP. Das Ergebnis der Namensauflösung wird an die Anfrage gebunden (DNS-Rebinding). Ausnahmen über shopware.app_system.allow_unencrypted_traffic und shopware.app_system.allowed_private_ip_addresses in der shopware.yaml.
• Medien-Import Geprüft wird jede aufgelöste Adresse statt nur der ersten IPv4, und die Anfrage geht an die geprüfte Adresse. Eine eigene FileUrlValidatorInterface-Implementierung kann weiterhin ablehnen, aber nichts Privates mehr freigeben. Für Importe aus internen Netzen: shopware.media.enable_url_validation auf false.
• Medien Direkte Schreibzugriffe auf media.fileExtension laufen gegen dieselbe Positivliste wie Uploads, Fehlercode MEDIA_ILLEGAL_FILE_EXTENSION.
• Apps und Plugins Entitäts- und Feldnamen aus der Resources/entities.xml werden bei Installation und Update validiert, erlaubt sind Buchstaben, Ziffern, Unterstriche, $ und die von MySQL beziehungsweise MariaDB unterstützten Nicht-ASCII-Zeichen. Ein Bindestrich im Namen führt zu einer eindeutigen Fehlermeldung.
• Store API Aggregationsnamen dürfen keine Steuerzeichen mehr enthalten.
• Produktbewertungen über verschachtelte Verknüpfungen Es gelten jetzt dieselben Sichtbarkeitsregeln wie auf oberster Ebene. Schnittstellen, die Bewertungen so auslesen, bekommen dadurch unter Umständen weniger Datensätze.
• Große Criteria Anfragen mit mehr als 99 Knoten werden mit einem 400 und SYSTEM__CRITERIA_TOO_MANY_NESTED_CRITERIA abgewiesen. Aus der Storefront entstehen solche Anfragen nicht, betroffen sind allenfalls eigene Schnittstellen, die dann in mehrere Anfragen aufgeteilt werden müssen.
• Deprecation Shopware.Service('integrationService').updateAdmin() entfällt mit Shopware 6.8, an die Stelle tritt das Repository der Integration.

Zwei wichtige Korrekturen

• Suche Verweist ein Mapping auf einen Analyzer oder Normalizer, den der laufende Index nicht kennt, schlägt die Aktualisierung fehl. Statt ein veraltetes Mapping stehen zu lassen, wird die betroffene Entität jetzt für einen Reindex in einen frisch angelegten Index vorgemerkt. Betroffen sind Shops mit Elasticsearch oder OpenSearch, bei denen sich die Analyse-Einstellungen ändern.
• Dokumente Rechnungen und Lieferscheine brechen nicht mehr ab, wenn der twig-Service von einem Plugin erweitert worden ist. Zu beachten ist dabei: Die Zeitzonen-Einstellung des Verkaufskanals greift nur, solange Shopwares eigene TwigEnvironment im Einsatz ist, sonst wird in der Standard-Zeitzone von Twig gerendert.

Die drei kritischen Lücken

• Ausbruch aus der App-Sandbox – kritisch, CVSS 9,6 Laut Advisory konnte eine bösartige oder übernommene App die Ausführungsbeschränkungen der App Scripts umgehen und beliebige PHP-Funktionen sowie Betriebssystem-Befehle ausführen. Als mögliche Folgen nennt Shopware den Zugriff auf Konfiguration und Zugangsdaten, Veränderungen an Dateien und den Zugriff auf interne Dienste.
• Übernahme von Administrator-Konten – kritisch, CVSS 9,3 Der Ablauf zum Zurücksetzen des Administrator-Passworts prüfte den verwendeten Host nicht ausreichend. Ein Angreifer ohne Zugangsdaten konnte den Link in der Wiederherstellungs-Mail auf eine eigene Adresse lenken und darauf hoffen, dass ein Administrator ihn anklickt.
• SQL-Injection über Feldnamen aus App-Manifesten – kritisch, CVSS 9,1 Namen aus eigenen Entitätsdefinitionen wurden nicht ausreichend geprüft, bevor daraus Tabellen und Spalten wurden. Eine App konnte damit beliebiges SQL mit den Rechten der Datenbankverbindung ausführen.

Die weiteren sechs Punkte

• SQL-Injection über die Store API – hoch, CVSS 8,6 Wer einen gültigen Zugriffsschlüssel eines Verkaufskanals besitzt, konnte über die Namen von Aggregationen eine Datenbankabfrage manipulieren. Shopware weist darauf hin, dass diese Schlüssel bei Headless-Anbindungen häufig offenliegen.
• Rechteausweitung über Rollenzuweisung – mittel, CVSS 6,5 Ein angemeldeter Administrator mit dem Recht, Benutzer zu bearbeiten, konnte sich selbst zusätzliche Rollen zuweisen und so Rechte erlangen, die ihm nicht zugedacht waren.
• Interne Dienste über den Medien-Import – mittel, CVSS 6,3 Über den Import von Medien per Adresse ließen sich Anfragen an Dienste im internen Netz auslösen. Die Prüfung der Zieladresse ließ sich durch einen Wechsel der Namensauflösung zwischen Prüfung und Verbindungsaufbau umgehen.
• Nicht freigegebene Produktbewertungen einsehbar – mittel, CVSS 5,3 Über verschachtelte Verknüpfungen in der Store API waren Inhalt, Bewertung und Anzeigename von Bewertungen abrufbar, die der Shop noch nicht freigegeben hatte. Dafür war keine Anmeldung nötig.
• Fehlendes Limit bei Gast-Dokumenten – niedrig, CVSS 3,7 Wer einen Dokumentenlink und die zugehörige E-Mail-Adresse hatte, konnte die abgefragte Postleitzahl unbegrenzt oft durchprobieren und so an Rechnungen und Lieferscheine gelangen.
• Interne Dienste über das App-System – niedrig, CVSS 3,1 Derselbe Umgehungsweg wie beim Medien-Import, hier über Webhooks und die Schnittstellen für Zahlung, Steuern und Checkout. Vorausgesetzt ist eine bösartige oder übernommene App.

Betrifft mich das?

• 6.6er-Reihe Betroffen sind alle Versionen unterhalb von 6.6.10.23. Bei einzelnen Punkten setzt der betroffene Bereich später an, etwa ab 6.6.6.0 bei den Produktbewertungen. Die genauen Spannen stehen in den Sicherheitsadvisories von Shopware.
• 6.7er-Reihe Betroffen sind 6.7.0.0 bis einschließlich 6.7.13.0. Die Fixes stecken in 6.7.13.1, siehe den Eintrag darüber.
• 6.5er-Reihe Zwei Advisories nennen auch 6.5er-Versionen als betroffen, beim Sandbox-Ausbruch ab 6.5.4.0. Als gepatchte Versionen führen die Advisories nur 6.6.10.23 und 6.7.13.1 auf. Wer noch auf 6.5 unterwegs ist, sollte den Umstieg prüfen und bis dahin mit seiner Agentur besprechen, welche Absicherung möglich ist.

Das ändert sich im Shop-Alltag

• Gastkonten in registrierte Kundenkonten umwandeln Gastkunden können direkt nach Abschluss der Bestellung ein Passwort setzen und ihr Gastkonto damit in ein reguläres Kundenkonto überführen. Die soeben aufgegebene Bestellung bleibt dem Konto zugeordnet. In der Administration finden Sie im Kundendetail unter „Allgemein“ die neue Aktion „In ein registriertes Konto umwandeln“. Für die Passwortvergabe stehen zwei Wege bereit: ein sicherer Link zum Zurücksetzen per E-Mail (von Shopware empfohlen) oder das manuelle Setzen eines Passworts ohne Benachrichtigung. Bestellhistorie und Kontaktdaten bleiben in beiden Fällen erhalten.
• Variantendarstellung in dynamischen Produktgruppen steuerbar Dynamische Produktgruppen haben die neue Option „Passende Varianten gruppiert anzeigen“. Schalten Sie sie ab, werden passende Varianten einzeln ausgegeben statt unter einem gemeinsamen Hauptprodukt zusammengefasst. Das wirkt in Kategorien, Cross-Selling-Bereichen und CMS-Produkt-Slidern. Bestehende Produktgruppen behalten nach dem Update ihr bisheriges Verhalten, da die Option standardmäßig aktiv bleibt.
• Schnellere Kategorieverwaltung Beim Anlegen oder Bearbeiten einer Kategorie indexiert Shopware nur noch die betroffene Kategorie und deren Unterkategorien neu. Bisher wurde der gesamte Zweig samt Geschwisterkategorien erneut verarbeitet. Laut Shopware sinkt dadurch die Datenbanklast, und Shops mit großen Kategoriestrukturen speichern spürbar schneller.
• Mehrere SEO-Korrekturen in der Storefront Paginierte Listenseiten erhalten die Seitenzahl in der Canonical-URL, sodass jede Seite einer Reihe eindeutig referenziert wird. Kategorien vom Typ „Link“ bekommen wieder eigene SEO-URLs und leiten auf ihr hinterlegtes Ziel weiter, statt eine 404-Seite auszugeben – relevant etwa für alte Lesezeichen oder externe Verlinkungen. Zusätzlich erlaubt die Standard-robots.txt jetzt das Crawlen von Produktfeed-URLs mit Tracking-Parameter. Diese waren zuvor pauschal gesperrt, was im Google Merchant Center zur Ablehnung von Produkten führen konnte.
• Zahlungswechsel nach dem Kauf wird durchgesetzt Ist bei einer Zahlungsart „Zahlungsartänderung nach Bestellabschluss erlauben“ deaktiviert, lässt sie sich für eine bestehende Bestellung nun auch über die Store API nicht mehr auswählen. Bisher wirkte die Einstellung nur als Filter in der Oberfläche, sodass Zahlungsarten mit eigenem Bezahl-Button sie umgehen konnten.
• Übersetzungen bleiben ohne Zutun aktuell Eine neue geplante Aufgabe aktualisiert installierte Übersetzungen einmal täglich automatisch. Zusätzlich lässt sich die Verwaltung von Übersetzungen jetzt über die Administration erledigen – Auflisten, Installieren, Aktualisieren und Entfernen sind nicht mehr auf den Kommandozeilenzugriff angewiesen. Shops ohne installierte Übersetzung bleiben davon unberührt.
• Dokumente: Zeitzone und ZUGFeRD-Korrekturbelege Verkaufskanäle erhalten eine optionale Geschäftszeitzone, nach der Dokumente gerendert werden. Ohne Angabe bleibt das bisherige Verhalten bestehen. Bei ZUGFeRD-Storno- und Korrekturdokumenten werden Versandangaben jetzt nach ihrer betriebswirtschaftlichen Bedeutung ausgegeben: erstattete Versandkosten als Gutschrift, berechnete Rücksendekosten als Zuschlag, Nullwerte gar nicht.
• Bilder und Medien JPEG-Vorschaubilder werden jetzt progressiv gespeichert. Sie erscheinen dadurch früher als grobe Vorschau und werden beim Laden schärfer, was besonders bei langsamen Verbindungen den Bildaufbau verbessert. Außerdem bricht die Stapelverarbeitung nicht mehr komplett ab, wenn eine einzelne Datei nicht verarbeitet werden kann. Textbasierte Dateien werden mit ausdrücklicher Zeichensatzangabe ausgeliefert, sodass Umlaute bei der Auslieferung über CDN oder Objektspeicher korrekt dargestellt werden.
• Administration Auf der Snippet-Detailseite ist jetzt erkennbar, ob ein Textbaustein aus einer Sprachdatei stammt und verändert wurde. Der ursprüngliche Wert wird angezeigt, und die Vererbung lässt sich wiederherstellen. In den Sucheinstellungen heißen die Modi außerdem verständlicher „Breite Suche (OR)“ und „Exakte Suche (AND)“; an der gespeicherten Konfiguration ändert sich nichts.

Für Entwickler und Technik

• Store API arbeitet zustandslos Shopware führt diesen Punkt als kritische Korrektur. Store-API-Anfragen starten keine PHP-Session mehr, sofern nicht Anwendungs- oder Erweiterungscode dies ausdrücklich tut. Bisher konnten verschiedene Event-Subscriber eine Session anlegen, was den Session-Speicher unnötig wachsen ließ und Session-Sperren auslösen konnte. Das Verhalten der Storefront-Session bleibt unverändert.
• Einkaufspreise nicht mehr in Store-API-Antworten Die Bestellpositionen der Store API enthalten keine Einkaufspreise mehr. Headless-Frontends, Apps und Integrationen dürfen dieses Feld nicht mehr auslesen; einen Ersatz über die Store API gibt es nicht. Auf PHP-Ebene bleibt der Wert weiterhin zugänglich. Die Änderung greift auch für bereits bestehende Bestellungen.
• Custom Fields deklarativ definieren Plugins und Apps können eigene Felder über eine Datei Resources/config/custom-fields.xml beschreiben. Shopware übernimmt Anlage, Aktualisierung und Entfernung entlang des Erweiterungs-Lebenszyklus, der bisherige Installer-Code entfällt. Zusätzlich lässt sich ein Feld über direkt als durchsuchbar kennzeichnen.
• Neue Admin-API-Endpunkte für die Verwaltung von Übersetzungen sowie für den Download von Mediendateien.
• Neuer Einstiegspunkt für Vorschaubilder Nach dem Schreiben jedes einzelnen Thumbnails wird ein Event ausgelöst. Erweiterungen können dort ansetzen, um Bilder nachträglich zu optimieren.
• Rechteverhalten bei Schreib-Events Nachgelagerte Schreibvorgänge aus Event-Listenern laufen jetzt im System-Kontext. API-Nutzer benötigen dadurch nur noch die Rechte für die tatsächlich gesendeten Daten, nicht zusätzlich für Entitäten, die ein Plugin im Hintergrund mitschreibt. Die Sichtbarkeit privater Medien wird davon ausdrücklich nicht aufgeweicht.
• Weitere Verbesserungen Webhooks werden nach einem Wechsel des App-Secrets mit dem aktuellen Secret signiert. Der SVG-Validator akzeptiert mehr passive Inhalte aus Erweiterungen und Themes, blockiert aktive Inhalte aber weiterhin. dal:validate prüft Fremdschlüssel auf Verträglichkeit mit MySQL 8.4. Eine fehlgeschlagene Plugin-Aktivierung wird jetzt sauber zurückgerollt. Mit Criteria::excludeFields() lassen sich einzelne schwere Spalten vom Laden ausnehmen. Über die Variable GENERATE_SOURCEMAPS steuern Sie, ob Sourcemaps in Produktions-Builds erzeugt werden.
• Suche Laut Shopware wurde die Elasticsearch-Unterstützung erweitert, unter anderem beim Phrase Matching und bei den Konfigurationsmöglichkeiten für das Ranking.

Hinweis zu Deprecations

• Die Bezeichnung maintenanceIpWhitelist am Verkaufskanal wird durch maintenanceIpAllowlist ersetzt. Beide Felder werden während der Übergangszeit synchron gehalten.
• EntitySearchResult sowie die abgeleiteten Ergebnisklassen für Produktlisten und Bewertungen ändern ihr Verhalten. Sammlungsmethoden sollten künftig auf getEntities() aufgerufen werden, in Twig entsprechend über .entities.
• Die Inline-Definition von Custom Fields in der manifest.xml von Apps weicht der neuen XML-Datei.
• Weitere Punkte betreffen das Rendern von Script-Antworten im Core, den Domain-Loader der Storefront, die Variable type in den Templates des Adressmanagers, mehrere umbenannte Twig-Blöcke in der Administration sowie drei Composer-Abhängigkeiten, die Shopware künftig nicht mehr mitliefert.

Kommerzielle Features

Einordnung

• Release-Typ Patch-Release, keine neuen Funktionen für die Storefront
• Zielgruppe Shops auf Shopware 6.6.x
• Nachfolger Mit 6.6.10.23 vom 25.08. ist inzwischen ein Sicherheitsupdate erschienen. Wer 6.6.10.22 noch nicht eingespielt hat, kann direkt auf 6.6.10.23 gehen.

Rechteprüfungen im Administrationsbereich

• Vorlagen-Rendering Endpunkte, die Vorlagen rendern, verlangen jetzt Schreibrechte.
• Aktionen im Backend Endpunkte für Aktionen, für Medien und für SEO verlangen jetzt die jeweilige Berechtigung.
• Nachrichten-Warteschlange und Zähler Auch die Endpunkte für die Message Queue und für die Warteschlangen-Statistik sind nicht mehr ohne Berechtigung erreichbar.
• Apps und Erweiterungen Anfragen über das Extension SDK und aus Administrations-Modulen werden gegen die Berechtigungen der App geprüft.

Wichtige Fehlerbehebungen

• Rabatte und Aktionen Die Preisdefinition eines Versandrabatts wurde bei einem Wert von null nicht korrekt behandelt. Außerdem behoben: ein Programmfehler bei der Berechnung von Set-Aktionen und ein Fall, in dem die Zusammensetzung einer Aktion nicht erhalten blieb.
• SEO-URLs Das Bearbeiten und das Leeren von SEO-URLs funktioniert wieder wie vorgesehen.
• Varianten-Massenbearbeitung Die Sichtbarkeit in Verkaufskanälen wurde bei der Massenbearbeitung von Varianten nicht richtig übernommen.
• Kategorien und Navigation Externe Links in Kategorien behalten ihr Protokoll, und untergeordnete Einträge im Navigationsbaum der Fußzeile werden korrekt als Seiten-URL aufgelöst. Zusätzlich behoben: der Fokus im Namensfeld eines Baumeintrags sprang unter Umständen weg.
• Integrationen Das Speichern einer Integration im Administrationsbereich schlug in bestimmten Fällen fehl.

Für Entwickler

• Standardrechte für Administrations-Benutzer Benutzer im Administrationsbereich erhalten laut Shopware jetzt Standardrechte zur Laufzeit.
• App-Zahlarten Der AppPaymentHandler unterstützt jetzt die Verknüpfung mit einem Übersetzungscode.
• Dateisystem von Plugins Die Metadaten im Dateisystem von Plugins sind jetzt geschützt.

Wichtige Korrekturen

• Test-E-Mail zum Widerrufsformular funktioniert wieder Bei der Vorschau von E-Mail-Vorlagen fehlten Beispieldaten für frei definierte Formularfelder. Dadurch ließ sich die Testmail zur Widerrufsanfrage nicht erzeugen. Diese Beispieldaten werden jetzt bereitgestellt, sodass die Vorschau wieder durchläuft.
• Cache-Einstellungen bleiben abwärtskompatibel Seit dem Juli-Release gibt es neue Konfigurationsschlüssel für die Cache-Komprimierung. Waren ausschließlich die neuen Schlüssel gesetzt, konnten Erweiterungen und Werkzeuge, die noch die alten Bezeichnungen auslesen, damit nichts mehr anfangen. Shopware setzt die alten Schlüssel jetzt automatisch mit, wenn nur die neuen konfiguriert sind.
• Aktualisierte PDF-Bibliothek Die Bibliothek dompdf, mit der Shopware Dokumente wie Rechnungen und Lieferscheine erzeugt, wurde auf Version 3.1.6 angehoben. Laut Shopware ging es dabei darum, Sicherheitshinweise zu dieser Fremdkomponente auszuräumen. Ein eigenes Sicherheitsadvisory für Shopware wurde dazu nicht veröffentlicht.

Wichtige Korrekturen

• Zahlungswechsel nach dem Kauf zuverlässig abgesichert Ist bei einer Zahlungsart „Zahlungsartänderung nach Bestellabschluss erlauben“ deaktiviert, lässt sich diese Zahlungsart für eine bestehende Bestellung nun auch über die Store API nicht mehr auswählen. Bisher wirkte die Einstellung nur als Filter in der Oberfläche, sodass Zahlungsarten mit eigenem Bezahl-Button (etwa PayPal) sie umgehen konnten.
• Store API startet keine unnötigen Sessions mehr Store-API-Anfragen konnten die Session-Verwaltung anstößen, was den Session-Speicher unnötig anwachsen ließ und PHP-Session-Sperren auslösen konnte. Das Verhalten der Storefront-Session, einschließlich Kunden-Imitation, bleibt unverändert.
• ZUGFeRD-Korrektur- und Stornorechnungen Bei Korrektur- und Stornodokumenten werden die Versandangaben jetzt korrekt aus den Dokumentdaten abgeleitet. Erstattete Versandkosten, berechnete Rücksendekosten und Nullwerte werden im XML sauber unterschieden.
• Verknüpfte Kategorien leiten wieder weiter Für Kategorien vom Typ Link greift das Weiterleitungsverhalten wieder wie vorgesehen.
• Weitere Korrekturen Sammelbearbeitung für beliebige Dokumenttypen, eine Race Condition im Filter-Panel der Administration sowie die Aktualisierung der PDF-Bibliothek dompdf auf Version 3.1.6. Der dompdf-Wechsel räumt laut Shopware Sicherheitshinweise zu dieser Fremdkomponente aus; ein eigenes Sicherheitsadvisory für Shopware wurde dazu nicht veröffentlicht.

Wichtige Korrekturen

• Behobener Startfehler Eine geänderte Cache-Konfiguration führte in 6.7.12.0 zu einem Fehler beim Hochfahren des Systems (intern „Frozen container parameter bag“). Dieser Fehler ist behoben, damit ist die Version wieder installierbar.
• Twig 3.28 Zusätzlich wurde die Kompatibilität mit Twig 3.28 hergestellt.

Das ändert sich im Shop-Alltag

• Bessere Suche und Search Discovery Die Suche versteht jetzt mehr Schreibweisen von Produktkennungen, etwa Größen wie 32/34, Dezimalwerte mit Komma oder Punkt sowie Herstellernummern mit und ohne Leerzeichen (AB123 oder AB 123). Zusätzlich wurde die Rangfolge der Treffer überarbeitet. Exakte Übereinstimmungen stehen weiter vorn, und schwach passende Ergebnisse werden häufiger herausgefiltert. Auch eine besonders große Zahl an Keywords verschafft einem Produkt keinen automatischen Vorteil mehr.
• AI Discovery Files für KI-Suchen Verkaufskanäle können jetzt sogenannte AI Discovery Files bereitstellen, konkret die Dateien llms.txt und agents.md. Diese maschinenlesbaren Dateien helfen KI-Assistenten und KI-Suchmaschinen dabei, Ihren Shop einzuordnen und zu erkennen, wie sie mit ihm umgehen sollen. Sie pflegen die Inhalte pro Verkaufskanal in der Administration, sehen eine Vorschau und können eigene Hinweise ergänzen. Für alle, die ihren Shop auf KI-gestützte Produktsuche vorbereiten wollen, ist das ein wichtiger Baustein.
• Rule Builder – neue Bedingung „Menge pro Position“ Damit lassen sich Regeln an der Menge einer einzelnen Warenkorbposition festmachen, statt an der Gesamtmenge aller Produkte. Einige Bezeichnungen wurden zudem verständlicher benannt, und fehlerhafte Eingaben in Bedingungen werden jetzt pro Feld angezeigt.
• Google Ads Enhanced Conversions Die Google-Analytics-Anbindung unterstützt jetzt Enhanced Conversions. Nach einem Kauf wird die E-Mail-Adresse des Kunden in gehashter Form an Google Ads übergeben. Das verbessert die Zuordnung von Conversions, wenn klassisches Cookie-Tracking eingeschränkt ist oder der Kauf auf einem anderen Gerät abgeschlossen wird. Aktivieren lässt sich das pro Verkaufskanal in den Analytics-Einstellungen.
• Double-Opt-in-Mail wird automatisch erneut verschickt Meldet sich ein Kunde mit unbestätigtem Double-Opt-in-Konto und korrekten Zugangsdaten an, verschickt Shopware die Bestätigungsmail automatisch erneut, sofern die erste Mail länger als ein einstellbares Intervall zurückliegt. Das senkt den Supportaufwand bei verloren gegangenen Bestätigungsmails. Auch ein erfolgreicher Passwort-Reset bestätigt ein solches Konto künftig.

Für Entwickler und Technik

• Storefront-Performance Das Cache-Handling wurde überarbeitet, der Cache-Hash hängt nicht mehr an der Sprach-ID. Zudem können Produktlisten einen gekürzten Beschreibungs-Auszug (descriptionTeaser) laden statt der vollen Beschreibung. Das ist bei Neuinstallationen aktiv und bei bestehenden Shops abgeschaltet; einschalten lässt es sich pro Verkaufskanal über core.listing.partialDataLoading.
• Erweiterte Elasticsearch-Unterstützung ein eigenes Feld für das Autocomplete der Admin-Suche sowie die Option, Varianten über den Namen des Hauptprodukts zu finden (Feld parent.name, standardmäßig aus). Nach dem Update ist ein Reindex über bin/console es:admin:index nötig.
• Flexiblere Thumbnail-Verarbeitung neben GD wird jetzt auch Imagick unterstützt, umschaltbar in der shopware.yaml.
• E-Mail-Templates und Theme-Konfiguration Mail-Templates können auf die Theme-Konfiguration der Storefront zugreifen (theme_config()), was verkaufskanalspezifische Templates erleichtert.
• Weitere Werkzeuge unter anderem ein neuer sha256-Twig-Filter, überarbeitete Zeitraum-Optionen im Bestell-Datumsfilter und ein einheitliches CLI-Ausgabeformat (--format json).

Hinweis zu Deprecations

Kommerzielle Features

Wichtige Korrekturen

• Einkaufspreise nicht mehr über die Store API Die Einkaufspreise werden nicht mehr in den Bestellpositionen der Store API ausgegeben. Das schließt eine ungewollte Preis-Offenlegung aus.
• Private Medien bleiben privat Bei Schreibvorgängen über die Datenschicht bleibt die Sichtbarkeit privater Medien zuverlässig erhalten.
• Webhooks nach Secret-Wechsel Nach einem Wechsel des App-Secrets werden Webhooks mit dem aktuellen Secret signiert. Das ist wichtig für die zuverlässige Kommunikation mit angebundenen Apps.
• Geschärfte Rechteprüfung Schreib-Events verlangen keine zusätzlichen API-Berechtigungen (ACL) mehr, als eigentlich nötig sind.
• Suche liefert wieder vollständige Treffer Produkte mit vererbter Sprache (etwa Schweizerdeutsch) und Suchanfragen mit umgestellten numerischen Begriffen werden wieder korrekt gefunden.
• Keine 500-Fehler mehr durch Tracking-URLs Eine fehlerhafte Tracking-URL führt nicht mehr zu einem Serverfehler auf Konto- und Bestellübersichtsseiten im Storefront.
• Weitere Korrekturen unter anderem bei Aktionen und Rabatten, im Widerrufsformular, in der Bestellstatus-Verwaltung sowie an mehreren Stellen der Administration.

Wichtige Korrekturen

• Zuverlässigere Import-Map im Component System Die Erzeugung der JavaScript-Import-Map wurde verbessert. Sie gehört zum neuen Component System, das mit 6.7.11.0 in die Storefront gekommen ist, und sorgt dafür, dass die zugehörigen Skripte korrekt eingebunden werden. Relevant ist die Korrektur vor allem für Shops, die das Component System bereits nutzen.
• Anmeldung am experimentellen MCP-Server Bei der Authentifizierung des neuen MCP-Servers wurde eine interne Abhängigkeit korrigiert, damit die Anmeldung wieder zuverlässig auflöst. Der MCP-Server ist laut Shopware weiterhin experimentell und nur über ein Feature-Flag aktiv. Betroffen sind also nur Installationen, die ihn testweise eingeschaltet haben.
• Footer-Navigation und Seiten-URLs Untereinträge im Baum der Footer-Navigation werden jetzt als Seiten-URLs berücksichtigt. Vorher fehlten sie an dieser Stelle. Relevant ist das überall dort, wo Shopware Seiten-URLs einsammelt, etwa für die Sitemap.

Das ändert sich im Shop-Alltag

• E-Mail-Vorschau pro Verkaufskanal Sie können sich eine E-Mail jetzt so anzeigen lassen, wie sie im jeweiligen Verkaufskanal tatsächlich aussieht, also inklusive Kopf- und Fußzeile. Die Vorschau wird zudem abgeschottet gerendert, was die Darstellung näher ans echte Ergebnis bringt. Das macht die Kontrolle vor dem Versand zuverlässiger.
• Suche springt direkt zum Produkt Gibt ein Kunde eine EAN oder eine Herstellernummer ein und passt genau ein Produkt dazu, leitet die Suche jetzt direkt auf die Produktseite weiter. Bisher galt das nur für die Produktnummer. Vor allem bei großen Sortimenten und im B2B spart das einen Schritt.
• Korrektur beim Filter „Letztes Quartal“ Im Backend lieferte dieser Datumsfilter zwischen Januar und März bisher einen falschen, viel zu langen Zeitraum über zwei Jahre. Das ist behoben, jetzt kommt korrekt ein Dreimonatszeitraum aus dem Vorjahr.
• Downloads nach dem Umbenennen von Medien Wenn Sie eine Mediendatei umbenennen, wird die zugehörige Adresse automatisch mit aktualisiert. Downloads funktionieren dadurch weiterhin ohne Umweg.
• Bestellungen trotz Suchserver-Aussetzer Fiel der Suchserver (Elasticsearch oder OpenSearch) während des Kaufs kurz aus, konnte eine bereits gespeicherte Bestellung bisher mit einer Fehlermeldung abbrechen. Künftig wird der Aussetzer protokolliert und übersprungen, die Bestellung wird normal abgeschlossen. Das betrifft alle Shops, die mit Elasticsearch oder OpenSearch arbeiten.
• Eigene Felder und Leserechte Custom Fields in mehreren Detailansichten sind jetzt gesperrt, wenn ein Mitarbeiter nur Leserechte besitzt. So lassen sich Werte nicht mehr versehentlich ändern.

Experimenteller MCP-Server für die KI-Anbindung

Für Entwickler und Theme-Anpassungen

• Neues Component System und Vite-Dev-Server Shopware führt ein Component System für die Storefront auf Basis von Twig-UX-Components ein und bezeichnet es als Grundlage für ein späteres Content-System. Dazu kommt ein neuer Dev-Server auf Vite-Basis (composer storefront:dev-server). Der bisherige Befehl watch:storefront ist deprecated.
• Theme-Konfiguration als CSS Custom Properties Farben und andere visuelle Einstellungen stehen jetzt zusätzlich als CSS Custom Properties bereit, unter demselben Namen wie die bisherigen SCSS-Variablen. Außerdem unterstützt die theme.json nun Referenzen auf einzelne Dateien aus anderen Bundles.
• Globales JavaScript-Event-System Über das zentrale window.Shopware-Objekt steht ein neues Event-System (emit/on) bereit, das einfacher nutzbar ist als die instanzgebundenen Events des bisherigen JS-Plugin-Systems.
• Sieben neue Foreign-Key-Resolver für die Sync API Payloads dürfen Entitäten jetzt über lesbare Schlüssel referenzieren statt über UUIDs, etwa über currency.iso_code, locale.code oder payment_method.technical_name.
• Erweiterte Mail-Template-API Neue Routen für Vorschau, Simulation und Versand erlauben eine Sales-Channel-bezogene Vorschau und das Auflösen von Template-Daten vor dem Versand.
• Konfigurierbare Gültigkeit von Bestell-Deep-Links über die shopware.yaml (order.deep_link.expire_days).
• Robustere State-Machine-Übergänge Sie werden jetzt pro Entität kurzzeitig gesperrt, damit gleichzeitige Aufrufe keine doppelten Historieneinträge erzeugen.
• Weitere Werkzeuge ein DAL-Flag IgnoreInUnusedMediaSearch für media:delete-unused, ein Bugfix beim sprachweisen Laden von Plugin-Snippets, das neue Kommando translation:list samt Pseudo-Sprachen sowie eine anforderungsbewusste Plugin-Installationsreihenfolge. Lokale Filesystem-Adapter lassen die Durchsetzung von Dateirechten nun per enforce_file_permissions: false abschalten.

Hinweis zu Deprecations

Besonders relevant

• Widerrufsformular – zwei Korrekturen kurz vor dem Stichtag Auf MariaDB-Installationen wurde das Standard-Seitenlayout mit Widerrufsformular nicht angezeigt; das ist behoben. Außerdem war der Widerrufsbutton auf Smartphones und Tablets erst nach dem Öffnen der Footer-Spalte sichtbar – jetzt ist er direkt erreichbar. Für 6.6-Shops, die den zurückportierten Widerrufsbutton nutzen, sind beide Fixes mit Blick auf die gesetzliche Pflicht ab dem 19. Juni 2026 wichtig.
• Bestellabschluss bei Suchserver-Aussetzern Fällt Elasticsearch oder OpenSearch während des Kaufs kurz aus, bricht eine bereits gespeicherte Bestellung nicht mehr ab (Backport, gleicher Fix wie in 6.7.11.0).
• reCAPTCHA v3 wirkt wieder In der 6.6er-Reihe wurde Google reCAPTCHA v3 komplett übersprungen. Der Schutz vor Spam und Bots in den Formularen greift jetzt wieder.

Weitere Korrekturen

• Promotions Es lassen sich jetzt mehr als 20 Ausschlüsse hinterlegen.
• Bestell-Datumsfilter Ein Zeitzonenfehler im Admin führte dazu, dass der Filter falsche Bestellungen auswählte. Behoben.
• PayPal „Später bezahlen“ Steht jetzt auch bei Bestellungen zur Verfügung, die im Admin angelegt wurden.
• Bild-Element (CMS) Ausrichtung und die Option „Strecken“ funktionieren wieder korrekt.
• Bestell-Filter im Admin Einige Filter wurden beim Anklicken nicht ausgewählt – das ist korrigiert.
• CMS-Sprachvererbung Inhalte werden über Sprachen hinweg wieder korrekt vererbt.
• Checkout Der Zurück-Button verändert die Menge im Warenkorb nicht mehr versehentlich.
• Versand- und Zahlartenwechsel Die Storefront-Umschalter arbeiten mit dem Checkout-Gateway wieder zuverlässig.
• Rule Builder Defekte Snippets in Bedingungen behoben, die Regel-Konfiguration wird nach einem Bedingungswechsel zurückgesetzt, und ein Datumsformat-Problem in Datumsbereichs-Regeln (DateRangeRule/Promotion) ist korrigiert.
• CMS-Block-Bearbeitung Die Bearbeitungselemente bleiben erreichbar, auch wenn ein großes Bild über HTML in ein Text-Element eingefügt wurde.
• Mobile Navigation Das Menü springt nicht mehr auf eine nicht zugeordnete Root-Kategorie statt auf den Haupteintrag.
• Medienverwaltung Das Ersetzen eines Bildes, das in einem Teaser verwendet wird, löst keinen Fehler mehr aus.

Für Entwickler

• Doctrine-Enum-Type-Mapping lässt sich registrieren; korrigierte Since-Version bei Deprecation-Hinweisen; eine ACL-Key-Prüfung in der PHPStan-Regel (Backport); und MatchAllLineItems liefert bei leerem Warenkorb wieder das korrekte Ergebnis.

Der Sicherheitsfix

• Twig-Sicherheitsupdate Die in Shopware eingesetzte Template-Engine Twig wurde aktualisiert, um eine Sicherheitslücke zu schließen.
• Wichtig – das Security Plugin hilft hier nicht Anders als bei sonstigen Sicherheitsupdates kann das Shopware Security Plugin diese Lücke nicht absichern. Erforderlich ist das eigentliche Twig-Update, das nur mit diesem Patch-Release ausgeliefert wird. Ein Einspielen des Updates ist daher der einzige Weg, die Lücke zu schließen.

Weitere Korrekturen

• Geringere Server-Last bei der Prüfung auf Erweiterungs-Updates (zusätzliches Caching), Entfernen einer nicht mehr benötigten Abhängigkeit sowie eine korrigierte shopware/conflicts-Version.

Wichtige Korrekturen

• Export-Download Beim Herunterladen exportierter Dateien über eine temporäre URL fehlte der Dateiname. Das ist behoben – Downloads erhalten wieder einen korrekten Namen.
• Aktualisierte Komponenten Twig und Symfony wurden aufgrund von Sicherheitsupdates dieser Komponenten aktualisiert.
• MariaDB Ein Problem mit Standardwerten unter MariaDB wurde behoben, die zugehörigen Datenbank-Migrationen wurden angepasst.
• Berechtigungen im Admin Zwei Rechte-Korrekturen sorgen dafür, dass Produktübersetzungen wieder gelesen werden können und das Tracking pro Vertriebskanal die nötige Berechtigung erhält.
• Weitere Korrekturen Dazu kommen kleinere Anpassungen, unter anderem eine aktualisierte Admin-Komponentenbibliothek (Meteor) und die Wiederverwendung bereits vorhandener Mediendateien beim Import von Icons für App-Zahlarten.

Geschlossene Sicherheitslücken

• Übernahme von Administrator-Konten Ein eigentlich geheimer Wiederherstellungs-Hash war über die Admin-API auslesbar und ließ sich missbrauchen, um ein fremdes Admin-Konto zu übernehmen.
• Rechteausweitung über die Sync-API Über eine Integration ließ sich ein Administrator-Kennzeichen umgehen und so unzulässig erweiterte Rechte erlangen.
• Anlegen von Admin-Konten ohne Admin-Rechte Ein Nutzer mit der Berechtigung zum Anlegen von Benutzern, aber ohne Administrator-Status, konnte vollwertige Admin-Konten erstellen.
• Ausspähen von Admin-Benutzernamen Über minimale Unterschiede in den Antwortzeiten des Admin-Logins ließen sich gültige Administrator-Benutzernamen ermitteln.
• Bestellstatus ohne ausreichende Rechte änderbar Über die Admin-API ließ sich der Status von Bestellungen ändern, ohne die dafür vorgesehenen Rechte zu besitzen.
• Zahlungsauslösung für fremde Bestellungen Über die Store-API konnten Zahlungsvorgänge für fremde Bestellungen unautorisiert ausgelöst werden.
• Offene Weiterleitung über Single-Sign-On Eine unzureichende Prüfung beim SSO-Login erlaubte Weiterleitungen auf beliebige Ziele – ein typisches Einfallstor für Phishing.
• Schadcode über SVG-Uploads Hochgeladene SVG-Dateien wurden nicht ausreichend bereinigt, wodurch sich Schadcode einschleusen ließ (Stored XSS).
• Manipulierte Server-Anfragen über den Medien-Import Die IP-Prüfung beim Import von Medien über eine URL ließ sich umgehen, wodurch der Server zu ungewollten internen Anfragen verleitet werden konnte (SSRF).

Was sich beim Datei-Upload ändert

• Strengere Prüfung von SVG-Uploads Shopware prüft hochgeladene SVG-Dateien jetzt vor dem Speichern gegen eine feste Positivliste. Aktive Inhalte wie Skripte, Event-Handler oder externe Verweise werden abgelehnt, erlaubt bleiben sichere Darstellungselemente. Für die meisten Shops ändert sich nichts – wer jedoch SVG-Grafiken mit Sonderelementen nutzt, sollte nach dem Update prüfen, ob diese weiterhin akzeptiert werden. Bei Bedarf lässt sich die erlaubte Auswahl in der shopware.yaml anpassen.
• Vereinheitlichte URL-Prüfung beim Medien-Import Die Prüfung von URLs beim Import über den external-link-Endpoint folgt jetzt denselben Regeln wie der Upload aus einer URL. Für eigene Anpassungen relevant: Die bisherige Methode validateExternalUrl() ist veraltet und wird durch assertValidExternalUrl() ersetzt. Details stehen in der UPGRADE-6.8.md.

Geschlossene Sicherheitslücken

• Übernahme von Administrator-Konten Ein eigentlich geheimer Wiederherstellungs-Hash war über die Admin-API auslesbar und ließ sich missbrauchen, um ein fremdes Admin-Konto zu übernehmen.
• Rechteausweitung über die Sync-API Über eine Integration ließ sich ein Administrator-Kennzeichen umgehen und so unzulässig erweiterte Rechte erlangen.
• Anlegen von Admin-Konten ohne Admin-Rechte Ein Nutzer mit der Berechtigung zum Anlegen von Benutzern, aber ohne Administrator-Status, konnte vollwertige Admin-Konten erstellen.
• Ausspähen von Admin-Benutzernamen Über minimale Unterschiede in den Antwortzeiten des Admin-Logins ließen sich gültige Administrator-Benutzernamen ermitteln.
• Bestellstatus ohne ausreichende Rechte änderbar Über die Admin-API ließ sich der Status von Bestellungen ändern, ohne die dafür vorgesehenen Rechte zu besitzen.
• Zahlungsauslösung für fremde Bestellungen Über die Store-API konnten Zahlungsvorgänge für fremde Bestellungen unautorisiert ausgelöst werden.
• Schadcode über SVG-Uploads Hochgeladene SVG-Dateien wurden nicht ausreichend bereinigt, wodurch sich Schadcode einschleusen ließ (Stored XSS).

Was sich beim Datei-Upload ändert

• Strengere Prüfung von SVG-Uploads Shopware prüft hochgeladene SVG-Dateien jetzt vor dem Speichern und lehnt aktive Inhalte wie Skripte oder externe Verweise ab. Für die meisten Shops ändert sich nichts – wer jedoch SVG-Grafiken mit Sonderelementen einsetzt, sollte nach dem Update prüfen, ob diese weiterhin akzeptiert werden. Die technischen Details zur Anpassung stehen in der UPGRADE-6.6.md.

Fehlerbehebungen

• Race Condition bei Statuswechseln Bestell- und Lieferstatus konnten bei hoher Last fehlschlagen oder inkonsistente Zustände erzeugen. Das Problem ist behoben.
• Warenkorb wurde unerwartet geleert Unter bestimmten Umständen konnte der Warenkorb während der Session komplett gelöscht werden.
• Falsche Versandkosten-Steuer bei Gratisartikeln Wenn ein Produkt durch eine Promotion kostenlos wurde, konnte der Steuersatz für die Versandkosten falsch berechnet werden.
• Rundungsfehler bei Preisberechnung Ein Rundungsproblem in der Preiskalkulation konnte in seltenen Fällen zu Cent-Differenzen führen.
• Anrede bei Lieferadresse ignoriert Bei der Registrierung wurde eine individuell gewählte Anrede für die Lieferadresse nicht übernommen.
• Gelöschte SEO-URLs nicht berücksichtigt Der SEO-Resolver hat gelöschte URLs bei der Sortierung nicht korrekt ausgeschlossen.
• Timeout bei großen Produktmengen in Promotions Das Auswahlfeld für Zusatzfelder in Promotions lief bei Shops mit vielen Produkten in einen Timeout.
• Variantenübersicht-Link fehlte Der Link „Zurück zur Variantenübersicht“ verschwand nach dem Speichern der SEO-URL.
• Warenkorb-Fehler, leere Preis-Zusatzfelder, falscher Bestell-Snippet, deaktiviertes Einkaufspreis-Feld, Modal-Darstellung, Widerrufsformular-Migration und API-Alias wurden ebenfalls korrigiert.

Highlights

• Agentic Commerce Sales Channel (experimentell) Shopware erhält einen neuen Sales-Channel-Typ für den KI-gestützten Vertrieb. Damit können Produktdaten als JSONL-Feed für KI-Plattformen wie ChatGPT bereitgestellt werden. Die Administration bietet eigene Ansichten für Konfiguration, Produkt-Mapping und Nutzungsstatistiken. Das Feature wurde bereits mit 6.7.9.0 angekündigt, aber erst jetzt ausgeliefert.
• Open-Graph-Daten für Produkte Im SEO-Bereich der Produktdetails können jetzt individuelle Open-Graph-Daten (Titel, Beschreibung, Bild) hinterlegt werden. Das sorgt für gezielte Vorschauen beim Teilen von Produktlinks auf Facebook, LinkedIn und in Messengern – ein lang gewünschtes Feature für Social Commerce.
• Live-Bestandsprüfung auf Produktdetailseiten Bei Closeout-Produkten (Abverkauf) prüft die Mengenauswahl jetzt live den tatsächlichen Lagerbestand über eine neue Store-API-Schnittstelle. So sehen Kunden auch bei gecachten Seiten immer die aktuelle Verfügbarkeit – wichtig für Shops mit knappen Beständen.
• 3D-Animationen im Storefront 3D-Modelle mit eingebetteten Animationen können jetzt direkt in der Storefront abgespielt werden. Einfach ein Modell mit Animationen hochladen, einem Produkt zuweisen und im Shop anzeigen lassen.
• Sortierbare Anreden Anreden (Herr, Frau etc.) können nun über ein neues Positions-Feld sortiert werden. Die bisherige alphabetische Sortierung wird abgelöst. Die Standard-Anreden werden automatisch migriert – eigene Anreden sollten nach dem Update in der Administration geprüft und ggf. mit einer Position versehen werden.

Storefront

• Gezieltere Varianten-Anzeige in Listen Über die Einstellung „Beste Variante anzeigen“ wird in Produktlisten und Suchergebnissen automatisch die passendste Variante basierend auf der aktuellen Filterung ausgewählt. So sehen Kunden direkt die relevanteste Ausprägung eines Produkts.
• Cookie-Bar Barrierefreiheit Die Cookie-Bar erhält automatisch den Fokus, sobald sie angezeigt wird – das verbessert die Nutzbarkeit für Screenreader und Tastatur-Navigation. Außerdem wird die Cookie-Bar an den Anfang des Body-Elements verschoben.
• Stornierung nur bei offenen Bestellungen Die Storno-Option im Kundenkonto wird nur noch bei Bestellungen im Status „offen“ angezeigt. Kunden sehen bei abgeschlossenen Bestellungen keine ungültige Stornierungsoption mehr.
• Kind-Positionen bei Produkten Untergeordnete Positionen (z. B. bei Bundles oder konfigurierten Produkten) werden jetzt in der Bestellbestätigung angezeigt, sofern vorhanden.
• Galerie mit Lazy Loading Die Produktbilder-Galerie unterstützt jetzt Lazy Loading und optimierte Thumbnail-Höhen für schnellere Seitenladezeiten.

Administration

• Interne Kommentare in der Bestellübersicht Interne Bestellkommentare sind jetzt direkt in der Bestell-Liste über ein Tooltip-Icon sichtbar. Das spart den Umweg über die Detailseite.
• Iframe-Integrationen stabiler Iframe-basierte Admin-Erweiterungen (z. B. über das Meteor Admin SDK) werden jetzt korrekt neu gerendert, wenn sich die Location ändert. Bisher konnte es zu veralteten Inhalten kommen.
• Mixin-Route-Guards repariert Route-Guards in Mixins (z. B. beforeRouteLeave) werden jetzt zuverlässig ausgeführt – auch bei lazy-geladenen Routen.
• Medien-Upload in Batches Medien-Uploads werden jetzt in Batches verarbeitet, um Browser und Server bei vielen Dateien nicht zu überlasten.

API & Core

• Erweiterte Rate Limiter Login- und OAuth-Endpunkte unterstützen jetzt zusätzliche Rate Limiter pro Benutzer und pro IP-Adresse. Die Konfiguration erfolgt optional über shopware.api.rate_limiter in der shopware.yaml.
• JSONL-Exportformat Produktexporte unterstützen neben CSV und XML jetzt auch das JSONL-Format – die Grundlage für den Agentic Commerce Feed.
• SHA-256 für Varianten-Gruppierung Das Feld display_group wird jetzt mit SHA-256 statt MD5 berechnet. Die Datenbankspalte wurde auf VARCHAR(64) erweitert. Plugins, die auf den alten 32-Zeichen-Hash zugreifen, müssen angepasst werden.
• Suchbegriff-Indexierung deaktivierbar Über die neue Konfiguration shopware.product.search_keyword.indexing kann die Suchbegriff-Indexierung abgeschaltet werden – nützlich für Shops mit Drittanbieter-Suche (z. B. Algolia, Doofinder).

App-System

• App Requirements Validation Apps können jetzt im Manifest Voraussetzungen definieren (z. B. ). Bei der Installation wird geprüft, ob die App-URL per HTTPS erreichbar ist und nicht auf eine lokale Entwicklungsumgebung zeigt – Fehlkonfigurationen werden damit früh erkannt.

Wichtige Fehlerbehebungen

• Dynamische Produktgruppen Fehler bei dynamischen Produktgruppen in Safari behoben.
• Elasticsearch-Suche Ein Fehler wurde behoben, bei dem die Produktsuche mit Elasticsearch einen 500-Fehler erzeugen konnte, wenn ein Boolean-Zusatzfeld als durchsuchbar konfiguriert war.
• Bestelldokumente nach Kundenlöschung Dokumenten-Links in Bestellungen bleiben jetzt auch nach Löschung des zugeordneten Kunden verfügbar.
• Checkout-Kommentar Ein Fehler bei der Speicherung von Kundenkommentaren im Checkout wurde behoben.
• Variantensortierung bei Migration Die Reihenfolge von Varianten-Optionen wird bei Migrationen jetzt korrekt beibehalten.
• CMS-Sprachvererbung Die Sprachvererbung bei CMS-Inhalten wurde korrigiert – Überschreibungen in Untersprachen gehen nicht mehr verloren.
• Robots.txt Doppelte Direktiven für User-Agent-Blöcke in der robots.txt werden jetzt verhindert.

Fehlerbehebungen

• Globale Modals in der Administration Globale Modal-Fenster wurden außerhalb des Content-Containers von sw-desktop gerendert, was zu Darstellungsproblemen führen konnte. Die Modals werden jetzt korrekt innerhalb des Content-Bereichs platziert.
• Standard-Kategorie-Layout bei Migration Beim Migrieren von Daten konnte es zu einem Fehler kommen, wenn das Standard-Layout für Kategorien nicht existierte. Dieser Fall wird nun korrekt abgefangen.
• reCAPTCHA-Validierung Die Entfernung des required-Validators bei reCAPTCHA-Eingabefeldern wurde wiederhergestellt. Ohne diesen Fix konnten Formulare mit reCAPTCHA-Integration unter bestimmten Umständen nicht abgesendet werden.
• Widerrufsformular-Übersetzungen Doppelte Übersetzungen beim CMS-Widerrufsformular wurden bereinigt. Das betrifft Shops mit mehrsprachiger Storefront, die das neue Widerrufsformular aus 6.7.9.0 nutzen.
• Mindestmenge bei Staffelpreisen Die Validierung der Mindestmenge bei Preisstaffeln (quantity range) wurde angepasst – die strengere Prüfung greift erst ab der kommenden Major-Version 6.8. Damit wird die Rückwärtskompatibilität für bestehende Konfigurationen sichergestellt.

Systemvoraussetzungen

• PHP Getestet auf PHP 8.2, 8.4 und 8.5
• Datenbank Getestet auf MySQL 8 und MariaDB 11

Highlights

• Nativer Widerrufsbutton (§356a BGB) Shopware integriert ein vollständiges, zweistufiges Widerrufsverfahren direkt in den Core. Kunden können ihren Widerruf künftig elektronisch über ein Online-Formular einreichen – analog zum bestehenden Kontaktformular. Die Lösung lässt sich über die Erlebniswelten als CMS-Element flexibel im Shop platzieren. Ein Backport auf Shopware 6.6 ist ebenfalls verfügbar. Die Funktion ist kostenfreier Bestandteil der Community Edition. Stichtag für die gesetzliche Pflicht: 19. Juni 2026. Was Sie jetzt konkret tun sollten, erfahren Sie in unserem ausführlichen Artikel zum Widerrufsbutton.
• Strukturierte Daten als JSON-LD Die Storefront gibt strukturierte Daten jetzt optional im modernen JSON-LD-Format aus – dem von Google bevorzugten Standard. Das bedeutet konkret: Google kann Ihre Produkte in den Suchergebnissen mit Sternebewertungen, Preis, Verfügbarkeit und weiteren Details anzeigen (Rich Results). Auch die Google Sitelinks-Searchbox wird unterstützt. Aktivierung über das Feature-Flag JSON_LD_DATA (Standard: aus). Die technischen Details zu den verfügbaren Schema-Typen und zur Erweiterbarkeit finden Sie weiter unten im Abschnitt Storefront. Die bisherige Microdata-Ausgabe ist deprecated und wird mit 6.8.0 entfernt.
• Schnellere Admin-Suche mit OpenSearch (experimentell) Shops mit großen Datenmengen können die Administrations-Suche künftig über OpenSearch laufen lassen. Das Laden von Produktlisten und die Suche im Admin werden damit spürbar schneller, Timeouts bei großen Sortimenten gehören der Vergangenheit an. Aktivierung über das Feature-Flag ENABLE_OPENSEARCH_FOR_ADMIN_API.
• Neuer Sales-Channel „Agentic Commerce“ Shopware führt einen komplett neuen Sales-Channel-Typ ein, der speziell für KI-gestützte Produktdistribution über Plattformen wie ChatGPT konzipiert ist. Über einen standardkonformen JSONL-Feed lassen sich Produkte direkt für KI-Plattformen bereitstellen, plattformspezifische Feeds anlegen (beginnend mit dem „OpenAI Product Feed“) und KI-Referral-Traffic über die bestehende Affiliate-Infrastruktur messen. Ein vorkonfiguriertes Feed-Template, anpassbare Händler-Metadaten und sofort nutzbare Feed-URLs erleichtern die Einrichtung. Eine zukunftsweisende Grundlage, um den wachsenden KI-getriebenen Traffic für den eigenen Shop nutzbar zu machen.
• SEO-Verbesserungen mit Open-Graph-Daten für Produkte Pro Produkt können jetzt individuelle Open-Graph-Daten hinterlegt werden – Titel, Beschreibung und Bild. Damit steuern Sie gezielt, wie Ihre Produkte beim Teilen in sozialen Netzwerken (Facebook, LinkedIn, WhatsApp, X usw.) oder Messengern aussehen. Zusammen mit der JSON-LD-Umstellung ein echter SEO- und Social-Sharing-Hebel.
• Interne Kommentare bei Statusänderungen Bei Änderungen des Bestell-, Zahlungs- oder Lieferstatus können jetzt interne Kommentare hinterlegt werden, die nur in der Administration sichtbar sind – nicht für Kunden. Nützlich für die interne Dokumentation und Team-Kommunikation.

Shopware Commercial Features (Evolve / Beyond)

• Shopware Nexus (Beta) Komplett neuer Shopware Service für die visuelle Orchestrierung von Workflows und Integrationen. Statt individuelle Skripte oder zusätzliche Middleware aufzusetzen, können Prozesse zwischen Shopware und externen Systemen wie ERP oder CRM eventbasiert über eine zentrale Workflow-Ebene modelliert werden. Integrationen werden damit langfristig stabiler und einfacher wartbar. Aktuell im Beta-Status verfügbar.
• Shopware Copilot – Chat-History Der KI-gestützte Assistent in der Administration bekommt einen Chat-Verlauf. Frühere Konversationen und Entscheidungen bleiben direkt im Copilot einsehbar – Kontext muss nicht mehr neu aufgebaut werden.
• CAD-to-3D verlässt die Beta Die Konvertierung von CAD-Dateien in webtaugliche .glb-3D-Modelle ist jetzt offiziell verfügbar. Konvertierte Modelle lassen sich als Produktmedien, in AR-Viewern, immersiven Layouts und Scroll-Animationen einsetzen. Verfügbar über das Shopware Intelligence+ Abonnement oder unlimitiert in kommerziellen Shopware Plänen.
• Product Bundles (Blueprint) Erste Version der nativen Bundle-Funktion in Shopware. Händler können kuratierte Sets oder Cross-Selling-Angebote direkt in Shopware erstellen. Variantenunterstützung und Mengenauswahl folgen in späteren Ausbaustufen. Verfügbar ab Shopware Evolve.
• Immersive Elements: Explosion Graphics Block Neuer interaktiver 3D-Block für Explosionsdarstellungen komplexer Produkte. Ideal für B2B-Anwendungen wie Maschinen oder Ersatzteilmanagement. Einzelne Komponenten können mit Erklärungen versehen und zu Produktdetailseiten verlinkt werden. Erhältlich als Zusatzmodul für 49 €/Monat.
• ZUGFeRD-Erweiterungen Unterstützung für Stornorechnungen (Cancellation Invoices), eingebettete Stornorechnungen und Gutschriften (Credit Notes) im ZUGFeRD-Format. ZUGFeRD basiert auf dem europäischen E-Rechnungsstandard EN 16931 und wird in Deutschland zunehmend Pflicht für die standardisierte elektronische Rechnungsverarbeitung.
• Verbesserte GMV-Collection Wird automatisch in allen Shopware-Shops installiert, die mindestens auf Version 6.7.8 laufen. Bei Community-Edition-Shops ist die Zustimmung zu den AGB ab Version 3.2 sowie eine Verknüpfung mit dem Shopware-Konto Voraussetzung.

Storefront

• Neues Storefront Component System Shopware führt ein neues Component-System sowie ein globales JavaScript-Event-System als Grundlage für zukünftige Erweiterungen der Storefront ein. Entwickler profitieren von einer strukturierteren Basis für individuelle Komponenten und Interaktionen.
• Neue JSON-LD-Schema-Typen Neu hinzugekommen sind u. a. ein WebSite-Schema mit SearchAction (Google Sitelinks-Searchbox), ein Organization-Schema mit Shop-Logo, ItemList auf Kategorie- und Suchergebnisseiten sowie VideoObject-Einträge für Produktvideos. Das Product-Schema auf der Detailseite enthält jetzt alle Produktbilder, AggregateRating mit korrekter ratingCount, bis zu 10 Einzel-Reviews, OfferShippingDetails, Maße als QuantitativeValue, itemCondition, gtin13 (EAN) und mpn (Herstellernummer).
• JSON-LD-Templates erweiterbar Jedes Schema liegt in einem eigenen Twig-Template unter storefront/layout/structured-data/. Über das bekannte sw_extends-Prinzip können Plugins und Themes einzelne Schemas ergänzen oder überschreiben – z. B. einen ContactPoint zur Organization hinzufügen.
• HEAD-Requests triggern kein Double-Opt-In mehr Einige Mail-Clients senden HEAD-Requests auf Links in E-Mails und bestätigten so versehentlich Registrierungen. Jetzt triggern nur noch echte GET-Requests das Double-Opt-In.
• Checkbox für digitale Inhalte verschoben Die Zugangsbestätigung für digitale Produkte befindet sich jetzt direkt beim Bestell-Button – rechtlich sauberer und für Kunden klarer.
• Runtime-Error-Overlay im Webpack Dev-Server deaktiviert Das störende Overlay bei Runtime-Fehlern im Hot-Reload-Modus wurde deaktiviert. Fehler bleiben in der Browser-Konsole sichtbar.

Administration

• Individuelle Open-Graph-Daten für Produkte In der Produktverwaltung lassen sich jetzt pro Produkt eigene Open-Graph-Daten hinterlegen – separater Titel, Beschreibung und Bild für die Darstellung in sozialen Netzwerken und Messengern. Unabhängig von den Standard-Metadaten des Produkts.
• CMS-Data-Mapping für Media-Custom-Fields Media-Custom-Fields sind jetzt als Data-Mapping-Quelle für Bild-Elemente in Kategorie- und Produkt-CMS-Layouts verfügbar – keine Workarounds mehr nötig.
• Produktfilter nach Artikelnummer mit Teilsuche Die Produktliste in der Administration unterstützt jetzt die Suche nach Teilen einer Produktnummer.
• Natürliche Sortierung bei Varianten Varianten werden bei Sortierung nach Name jetzt natürlich sortiert (z. B. „S, M, L, XL“ statt alphabetisch).
• Massen-Löschung von Dokumenten Dokumente können jetzt über die Sync-API und in der Administration in Masse gelöscht werden.
• Ladeindikator bei CMS-Formularen Submit-Buttons in CMS-Formularen zeigen jetzt einen Ladeindikator während der Verarbeitung.
• Filterbare Produkttypen Die Produktliste kann jetzt nach konfigurierbaren Produkttypen gefiltert werden.
• Administration: robots-Meta-Tag Die Administration setzt jetzt noindex, nofollow – verhindert versehentliche Indexierung durch Suchmaschinen.

Core

• Standard-CMS-Page wird persistent gespeichert Bisher wurde die Default-CMS-Page für Kategorien nur zur Laufzeit gesetzt – jetzt wird sie beim Speichern in die Datenbank geschrieben. Eine Migration befüllt bestehende Kategorien automatisch nach.
• Vererbung für Produkt-Hauptkategorien Hauptkategorien werden jetzt vom Parent-Produkt geerbt, wenn sie auf der Variante nicht explizit gesetzt sind. Weniger Pflegeaufwand bei Variantenprodukten.
• Reduzierte HTTP-Cache-Invalidierung bei Config-Änderungen SystemConfigService::set(), setMultiple() und delete() akzeptieren einen neuen $silent-Parameter. Bei silent=true wird das HTTP-Cache-Tag nicht invalidiert – verhindert „Invalidation-Stürme“ beim Schreiben interner Config-Werte.
• Automatische Bereinigung abgelaufener Passwort-Reset-Tokens Ein neuer Scheduled Task entfernt täglich abgelaufene Einträge aus der customer_recovery-Tabelle (alle älter als 48 Stunden). Die Tabelle wächst damit nicht mehr unbegrenzt.
• Neue Entity-Definition-Feldtypen Das Attribute-basierte Entity-System unterstützt neue Typen: FieldType::EMAIL, #[Password], #[ListField] und FieldType::PRICE.
• Produkt-Slider CMS-Element Zwei neue Events (ProductSliderStaticCriteriaEvent, ProductSliderStreamCriteriaEvent) erlauben die Anpassung der Produkt-Kriterien im Slider per Subscriber.
• Produkt-Stream-Löschschutz Produkt-Streams, die in Produkt-Exporten verwendet werden, können nicht mehr gelöscht werden. Foreign Key auf RESTRICT geändert.
• Cart-Race-Condition behoben Bereits gelöschte Warenkörbe werden bei parallelen Requests nicht mehr versehentlich neu angelegt.
• OAuth Token Revocation Konform mit OIDC 3.1.2.1 und RFC-7009 implementiert.
• Heartbeat-Event für Apps Ein neues app.system_heartbeat-Event signalisiert Apps wöchentlich, dass die Shopware-Instanz aktiv ist.

API

• Newsletter-Routen mit Response-Body Statt 204 No Content liefern /store-api/newsletter/subscribe, /confirm und /unsubscribe jetzt 200 OK mit {"success": true, ...}. Die alten Methoden sind deprecated – bitte auf *WithResponse()-Varianten umstellen.
• Externe Thumbnail-URLs für Media Zwei neue Endpunkte (POST/DELETE /api/_action/media/{id}/external-thumbnails) ermöglichen das Hinterlegen vorgenerierter Thumbnails von CDNs. Beim Anlegen externer Media kann ein thumbnails-Array direkt mitgegeben werden.
• Mindestwerte für Produktpreis-Mengen quantityStart und quantityEnd in ProductPriceDefinition erfordern jetzt einen Mindestwert von 1.
• OpenAPI-Enums via DAL-Choice-Flag DAL-Felder können jetzt erlaubte Werte deklarieren, die automatisch im OpenAPI-Schema erscheinen. Optional mit strikter Schreibvalidierung.

Hosting & Konfiguration

• Langlebige MySQL-Verbindungen Unterstützung für Libraries wie doctrine-mysql-come-back, die die Standard-DBAL-Verbindung wrappen – relevant für Worker- und Consumer-Setups mit langen Laufzeiten.
• System-Config-Overrides im Staging-Modus Der Befehl system:setup:staging erlaubt jetzt das Vorkonfigurieren von System-Config-Schlüsseln über eine YAML-Struktur – inkl. Sales-Channel-spezifischer Overrides. Ideal für automatisierte Staging-Setups.
• Custom HTTP-Client für S3 Die S3-Client-Erzeugung akzeptiert jetzt einen optionalen HttpClientInterface. Ermöglicht individuelle Timeouts, Retry-Strategien und HTTP-Protokoll-Versionen für S3-Operationen.
• Getestet auf PHP 8.2, 8.4 und 8.5 sowie MySQL 8 und MariaDB 11.

Deprecations (Vorbereitung auf 6.8.0.0)

• Microdata-Ausgabe Alle itemscope/itemtype/itemprop-Attribute in der Storefront sind deprecated. Mit 6.8.0 wird ausschließlich JSON-LD verwendet.
• Newsletter-Route-Methoden subscribe(), confirm() und unsubscribe() deprecated – bitte auf *WithResponse()-Varianten umstellen.
• cmsPageIdSwitched-Feld Auf CategoryDefinition und CategoryEntity deprecated.
• TemplateGroup-Klasse \Shopware\Core\Content\Seo\SeoUrlTemplate\TemplateGroup wird in 6.8.0 entfernt.
• EntityDefinition-Standard-Felder Die Anwendungs-Reihenfolge von createdAt/updatedAt ändert sich in 6.8.0 – prüfen Sie eigene Definitionen, die diese Felder manuell ergänzen.
• Route /api/_action/mail-template/validate Wird ersatzlos entfernt.
• Twig-Block page_product_detail_product_buy_button_label Bitte künftig component_product_box_action_buy_button_label verwenden.
• silent-Parameter in SystemConfigService Ab 6.8.0 ist silent=true Standard. Clients sollten den Parameter ab jetzt explizit setzen.

Wichtige Fehlerbehebungen

• Preisvererbung bei Produktvarianten Die Preisvererbung wird jetzt korrekt angewendet.
• Bewertungs-Durchschnitt bei Varianten Der Rating-Durchschnitt wird bei Produkten mit Varianten jetzt korrekt berechnet.
• Promotion-Codes in Kleinbuchstaben Gutscheincodes werden jetzt korrekt eingelöst, auch wenn sie in Kleinbuchstaben eingegeben werden.
• Cart-Merge mit Produkt-Set-Promotions Warenkorb-Zusammenführungen funktionieren wieder korrekt.
• Race Conditions im Warenkorb Mehrere Race Conditions bei gleichzeitiger Warenkorb-Nutzung (Persist/Load, Bestellabschluss) behoben.
• Race-Condition bei Theme-Zuweisung (MariaDB) Fehler bei MariaDB-Nutzung behoben.
• Digitale Produkte Download im Storefront wieder zuverlässig möglich.
• OpenSearch mit NotEquals-Filtern Fehlerhaftes Verhalten bei NotEquals-Filtern in verschachtelten Feldern korrigiert.
• ZUGFeRD-Dokumente Label und Dateiname korrigiert; XML-Rechnungen werden jetzt korrekt an E-Mails angehängt.
• Sales-Channel-Name in E-Mail-Templates Übersetzungen werden jetzt korrekt angezeigt.
• Nummernkreise ab Null Ein Fehler, bei dem Nummernkreise bei Null starten konnten, wurde behoben.
• Zeitzonen-Fehler in Datums-Range-Regeln Behoben.
• Zahlreiche weitere Fixes in Administration, Storefront, Cache, Flow Builder, Consent-System und Performance-Optimierungen – die vollständige Liste finden Sie in den offiziellen Release Notes auf GitHub.

Einordnung

• Release-Typ Patch-Release
• Zielgruppe Shops auf Shopware 6.6.x, die noch nicht auf 6.7 migriert sind
• Extended Support Die 6.6er-Reihe erhält im Rahmen des Extended Supports weiterhin Bugfixes und Sicherheitsupdates. Die aktive Entwicklung neuer Features erfolgt bereits in 6.7.x.

Wichtige Neuerungen & Backports

• ZUGFeRD-Dokumente (Backport aus 6.7) Die Unterstützung für zusätzliche ZUGFeRD-Dokumententypen wurde in die 6.6er-Reihe zurückportiert. Relevant für Händler, die elektronische Rechnungen nach dem europäischen E-Rechnungsstandard EN 16931 abbilden müssen.
• ACL-Prüfungen für Twig-Template-Routen (Backport aus 6.7) Spezifische ACL-Prüfungen wurden für Routen ergänzt, die Twig-Templates rendern. Sicherheitsrelevante Verbesserung.
• Translated CMS Slot Overrides Überschreibungen einzelner CMS-Slots in verschiedenen Sprachen werden jetzt korrekt behandelt.
• Installer nutzt DATABASE_URL Der Installer berücksichtigt jetzt die DATABASE_URL-Umgebungsvariable – relevant für Container- und Cloud-Setups.

Administration

• Autocomplete zeigt mehr als 25 Einträge Die Autocomplete-Felder im Backend lieferten bisher nur die ersten 25 Einträge – wichtige Adressen und Datensätze blieben außen vor. Dieses Verhalten wurde korrigiert.
• Verlaufsprotokoll zeigt korrekten Benutzer Im History-Log zeigte das Feld „Letzte Änderung“ unter Umständen nicht den richtigen Benutzer an. Behoben.
• Custom-Field-Data-Mapping für Media Media-Custom-Fields wurden im Data-Mapping fälschlicherweise als Text behandelt. Jetzt werden sie korrekt als Media-Typ interpretiert.
• Admin-Suche: Indexierungs-Events & Iterator-Versionierung Verbesserte Behandlung der Admin-Such-Indexierung und Versionierung der Iteratoren.
• Entfernung der Abhängigkeit zu maltyxx/images-generator Die nicht mehr benötigte Library wurde aus den Abhängigkeiten entfernt.

Storefront

• Widerrufsformular – Feldvalidierung Fehler in der Feldvalidierung des Widerrufsformulars wurden behoben.
• Widerrufsformular – Hinweistext bei mehrfachem Klick Ein irreführender Hinweistext nach mehrfachem Klick auf den Absenden-Button wurde korrigiert.
• Bestellstornierung nur bei offenen Bestellungen sichtbar Die Storno-Funktion wurde versehentlich auch bei bereits abgeschlossenen Bestellungen angezeigt. Jetzt nur noch bei offenen Bestellungen.
• Google reCAPTCHA bei mehreren Formularen Wenn mehrere Formulare auf derselben Seite eingebunden waren, wurde reCAPTCHA nur für das erste Formular geprüft. Dieses Verhalten wurde korrigiert.
• Produkt-Bild Alt-Text fällt wieder auf Produktnamen zurück Seit 6.6 war der Fallback zum Produktnamen auf der Produktdetailseite nicht mehr aktiv. Behoben.

Core

• Buybox-CMS-Element: Fehlende Association behoben Das Buybox-Element referenzierte eine nicht existierende Association. Behoben.
• Unknown Feature V6_8_0 Ein Fehler beim Feature-Flag-Handling für die kommende Major-Version 6.8.0 wurde korrigiert.
• IncrementSqlStorage Der Rückgabetyp bei leerem Datenbankeintrag wurde korrigiert – liefert jetzt keinen falschen String mehr zurück.
• MIN()-Funktion im cheapestPrice-Accessor Der cheapestPrice-Accessor unterstützt jetzt die SQL-MIN()-Funktion. (Community-Beitrag von Ullrich Löblein)
• PromotionRedemptionUpdater – Performance Performance-Optimierung bei der Verarbeitung von Promotion-Einlösungen.
• Race-Condition zwischen Cart-Persist und Cart-Load Bereits in 6.7 behobene Race-Condition wurde in die 6.6er-Reihe zurückportiert.
• Promotion-Code in Kleinbuchstaben Individuelle Promotion-Codes wurden nicht als eingelöst markiert, wenn sie in Kleinbuchstaben eingegeben wurden. Behoben.
• Promotion-Set-Produkte können wieder entfernt werden Das Entfernen von Produkten aus einem Promotion-Set im Warenkorb war nicht möglich. Behoben.
• Rechnungsnummern-Auswahl bei Gutschriften und Stornorechnungen Die Auswahl der Rechnungsnummer bei Credit Notes und Storno-Rechnungen wurde korrigiert. (Community-Beitrag von Justus Geramb)
• Produktsuche mit deaktivierten Such-Feldern Wenn alle Felder in product_search_config_field als „nicht durchsuchbar“ markiert waren, fielen bestimmte Produktsuchen mit Fehler aus. Jetzt behandelt.
• Performance bei Kategorie-Kinder-Auflösung Performance-Problem beim Auflösen von Kategorie-Kindern behoben.

Kritische Fehlerbehebungen

• Webhook bei Bestellstatus-Wechsel Ein Fehler bei der Verarbeitung von Webhooks für Statusänderungen (undefinierter Array-Key) konnte zu einem Server-Fehler führen, wenn strikte Fehleranzeige aktiviert war. Betroffen waren insbesondere Shops mit aktiven Flow-Aktionen oder App-Webhooks, die auf Bestellstatus-Änderungen reagieren.
• Digitale Produkte – Legacy-States-Reparatur Ein Bug im Indexer für das Feld product.states führte dazu, dass Regeln und Flows mit der Bedingung „Line Item mit Produktstatus“ nicht korrekt funktionierten. Das betraf vor allem den automatischen Download-Versand nach dem Kauf digitaler Produkte. Dieses Release repariert betroffene digitale Produkte mit fehlenden Legacy-States automatisch über einen einmaligen UpdatePostFinishEvent-Subscriber. Die Reparatur läuft beim ersten Update automatisch und wird in der app_config-Tabelle als abgeschlossen markiert.

Sicherheitsfixes

• GHSA-c4p7-rwrg-pf6p – Doppelte Signaturprüfung bei App-Reregistrierung Im Ablauf der erneuten Registrierung von Apps wurde die Signaturverifizierung nicht korrekt durchgeführt. Diese Lücke wurde geschlossen, um Manipulationen bei der App-Kommunikation zu verhindern.
• GHSA-gqc5-xv7m-gcjq – Account Enumeration über Store API Über die Store API war es möglich, die Existenz von Kundenkonten zu ermitteln. Diese Informationspreisgabe wurde eingeschränkt.
• GHSA-7vvp-j573-5584 – DeepLinkCode-Filterprüfung Die Validierung des deepLinkCode-Filtertyps wurde verschärft, um unautorisierten Zugriff auf Bestelldaten zu verhindern.

Bugfixes

• Varianten-Vorauswahl im Kategorie-Listing Die Vorauswahl von Varianten in Produktlistings auf Kategorieseiten funktioniert in der 6.7er-Reihe wieder korrekt.
• Promotion-Regel „Alle – Sind keine von“ Die Bedingung „Are None of“ bei Promotions liefert nun wieder die erwarteten Ergebnisse.
• Regulierungspreis bei Warenkorb-Positionen Fehlender Regulierungspreis (regulation price) bei Line Items wurde behoben.
• Accessibility Eingabefelder verfügen jetzt über das autocomplete-Attribut; diverse Level-A-Accessibility-Probleme im Kundenkonto wurden korrigiert.
• Dokument-Fußzeile Die Platzierung der Fußzeile in generierten Dokumenten (Rechnungen, Lieferscheine) wurde korrigiert.
• Profiler-Fix $title wird in start() korrekt als Key verwendet, sodass stop() zuverlässig aufräumt.
• Verschachtelte Assoziationen Das Lesen von Assoziationen über die Parent-Entity bei mehreren gleichartigen Assoziationen wurde korrigiert.
• 500-Fehler mit Commercial-Plugin Ein Fehler bei Shop-Version 6.7.2.0 in Kombination mit Commercial Version 7.1.2 wurde behoben.
• Migration-Befehl Der Befehl database:refresh-migration funktioniert wieder wie erwartet.

Sicherheitsfixes

• GHSA-c4p7-rwrg-pf6p – Doppelte Signaturprüfung bei App-Reregistrierung Die Signaturverifizierung im App-Reregistrierungsablauf wurde korrigiert.
• GHSA-gqc5-xv7m-gcjq – Account Enumeration über Store API Die Möglichkeit zur Ermittlung existierender Kundenkonten über die Store API wurde eingeschränkt.
• GHSA-7vvp-j573-5584 – DeepLinkCode-Filterprüfung Die Validierung des deepLinkCode-Filtertyps wurde verschärft.

Einordnung

• Release-Typ Patch-Release (Bugfixes & Stabilität)
• Zielgruppe Shops auf Shopware 6.6.x, die noch nicht auf 6.7.x migriert haben
• Extended Support Die 6.6er-Reihe befindet sich im Extended Support und erhält weiterhin selektive Bugfixes und Sicherheitsupdates bis zur Verfügbarkeit von Shopware 6.8

Highlights

• Interner Kommentar bei Statuswechseln Im State-Machine-Verlauf können jetzt interne Kommentare hinterlegt werden – sichtbar nur in der Administration, nicht für Kunden. Ideal für interne Dokumentation bei Bestellstatus-Änderungen.
• Interne Produktströme Product Streams können als „intern“ markiert werden, sodass sie nicht in Auswahllisten der Administration erscheinen – perfekt für system- oder plugin-seitig genutzte Streams.
• Session-Deadlock-Fix Ein kritischer Fix für Deadlocks bei dateibasierten Sessions mit Symfonys Cache Stampede Protection. Besonders relevant für Umgebungen ohne Redis.
• Systemanforderungen Getestet auf PHP 8.2, 8.4 und 8.5 sowie MySQL 8 und MariaDB 11.

Shopware Commercial Features

• Neue Möglichkeiten für Videos Shopware 6.7.8.0 bietet erweiterte Funktionen für die Arbeit mit Video-Inhalten im Shop. Details dazu finden sich im offiziellen Shopware-Blogpost zu den Release News März 2026.
• Erweiterte B2B-Funktionalität mit individuellen Preisen B2B-Kunden profitieren von einer erweiterten Preisgestaltung mit individuellen, kundenspezifischen Preisen. Dieses Feature baut auf den bestehenden B2B Components auf und ist ab Shopware Evolve verfügbar. Weitere Informationen im offiziellen Shopware-Blogpost.

Administration

• Varianten-Konfigurationsgruppen als Computed Property In sw-product-detail-variants wurde configSettingGroups von einer Data-Property zu einer berechneten Property umgestellt – stabiler und konsistenter.
• Deprecation der items-Prop in sw-entity-listing Statt items sollte künftig dataSource verwendet werden, um Konsistenz mit der übergeordneten sw-data-grid-Komponente herzustellen.
• Reaktive Benachrichtigungs-Übersetzungen Benachrichtigungen speichern nun Translation-Keys statt vorübersetzter Texte – Sprachwechsel aktualisiert Benachrichtigungen automatisch.
• Hilfetext für Colorpicker Custom Fields Custom Fields vom Typ „Colorpicker“ unterstützen jetzt einen Hilfetext in der Administration.
• Clearable-Button-Verhalten angepasst Die showClearableButton-Prop in sw-select-base richtet sich nun nach dem required-Attribut – bei nicht-erforderlichen Feldern wird der Button standardmäßig angezeigt.

Core & API

• Custom Fields im Elasticsearch-Index Custom Fields, die in Produktsortierungen, Produktströmen oder Apps verwendet werden, werden nun beim Produkt-Indexing in Elasticsearch berücksichtigt.
• Deprecation der Increment-basierten Message-Queue-Statistiken Das bisherige System wird in v6.8.0.0 entfernt. Der neue Endpunkt GET /api/_info/message-stats.json ersetzt GET /api/_info/queue.json. Sofortige Deaktivierung über shopware.admin_worker.enable_queue_stats_worker: false möglich.
• Neue TableHelper-Klasse \Shopware\Core\Framework\Util\Database\TableHelper ermöglicht einfache Prüfungen auf Tabellen, Spalten, Indizes und Foreign Keys.
• Migration-Generator verbessert Foreign-Key-Namen nutzen nun das Format fk____ statt des bisherigen Punkt-Formats. Zusätzlich wird CASCADE DELETE automatisch für Translation-Tabellen gesetzt.
• CategoryIndexer optimiert Tree-/Child-Count-Updater werden übersprungen, wenn sich die parentId nicht geändert hat; Breadcrumb-Updater nur bei Namensänderungen – deutlich schnellere Indexierung bei Updates.
• Primary-Key-Validierung im dal:validate-Befehl Erkennt nun Diskrepanzen zwischen Datenbank-Primary-Keys und Entity-Definition-Flags, um stille Fehler bei der Entity-Hydration zu vermeiden.
• doctrine/dbal auf Version 4.4 aktualisiert Bringt viele Deprecations mit, besonders im SchemaManager – betroffene Projekte sollten den Upgrade-Guide prüfen.

Storefront

• Verkaufs- und Verpackungsinformationen auf der PDP Produkte mit erweiterten Preisen zeigen nun Verkaufs- und Verpackungsinformationen direkt auf der Produktdetailseite an.
• Standard-Breakpoints in der Theme-Konfiguration Die bisherigen hart codierten Breakpoints (xs bis xxl) sind nun als konfigurierbare Theme-Config-Felder verfügbar – ideal für Theme-Entwickler, die individuelle Breakpoints definieren möchten.
• Screenreader-Unterstützung für statische Alerts Über den neuen Parameter announceOnLoad werden statisch gerenderte Alert-Boxen nach dem Seitenaufbau zuverlässig vom Screenreader vorgelesen.

App-System

• Custom Headers für App Flow Action Webhooks Custom Headers in App-Flow-Action-Konfigurationen werden nun auch im asynchronen Modus (Message Queue) korrekt mitgesendet – bisher funktionierten sie nur bei synchroner Verarbeitung.

Hosting & Konfiguration

• Deprecation veralteter HTTP-Cache-Reverse-Proxy-Optionen Mehrere Konfigurationsoptionen rund um shopware.http_cache.reverse_proxy (z. B. use_varnish_xkey, ban_method, purge_all) waren seit 6.7.0.0 wirkungslos und sind nun offiziell deprecated. Entfernung in 6.8.0.0.
• Konfigurierbare Elasticsearch Shard- und Replica-Anzahl Die Anzahl der Shards und Replicas für Elasticsearch-Indizes ist nun über Umgebungsvariablen steuerbar (SHOPWARE_ES_NUMBER_OF_SHARDS, SHOPWARE_ES_NUMBER_OF_REPLICAS sowie entsprechende Admin-ES-Variablen).
• Session-Deadlock-Fix für dateibasierte Sessions Neue Konfigurationsoption shopware.cache.disable_stampede_protection: true verhindert ABBA-Deadlocks bei gleichzeitiger Nutzung von dateibasierten Sessions und Cache. Redis bleibt die empfohlene Lösung.

Wichtige Fehlerbehebungen

• Google reCAPTCHA Verbesserte Sichtbarkeit des Eingabefelds und Fehlerbehandlung bei mehreren Formularen auf einer Seite.
• Image-Zoom-Modal Touch-Gesten im Zoom-Modal funktionieren wieder korrekt.
• Steuer-Inkonsistenz bei Varianten Die Steuer­sätze werden bei Variantenprodukten nun konsistent angewendet.
• Partielle Entity-Ladung Fehler bei verschachtelten Assoziationen mit partieller Ladung behoben.
• Sales-Channel-gebundener Kunden-Logout Ein Problem beim Logout von Sales-Channel-gebundenen Kunden wurde korrigiert.
• Offline-Theme-Kompilierung Fehler bei der Theme-Kompilierung ohne Netzwerkverbindung behoben.
• Pflichtfelder mit leerem Wert Pflichtfelder können nicht mehr mit einem leeren Wert gespeichert werden.
• Promotion-Regelauswertung Fehler bei der Auswertung von Promotion-Regeln korrigiert.
• Optimierte Standard-SEO-Kategorie-Auswahl Die automatische Zuordnung der Standard-SEO-Kategorie für Produkte wurde verbessert.

Wichtige Fehlerbehebungen

• Kundenkonto / Adressen Die Adresslogik im AddressDetailPageLoader wurde korrigiert, sodass Kundenadressen wieder zuverlässig geladen und verarbeitet werden.
• Administration / Bestellungen Probleme beim Laden der Bestellbearbeitung im Admin wurden behoben – insbesondere relevant bei komplexeren Bestellungen.
• Elasticsearch-Kompatibilität Die Elasticsearch-Anforderung im Core-Bundle wurde angepasst, um Inkompatibilitäten und Setup-Probleme zu vermeiden.

Wichtige Fehlerbehebungen

• Kundenkonto / Adressen Die Adresslogik in der Detailseite wurde korrigiert, sodass Adressen im Kundenkonto wieder zuverlässig geladen und verarbeitet werden.
• Administration / Bestellungen Das Laden der Bestellbearbeitung wurde stabilisiert – besonders relevant für Shops mit vielen Bestellungen oder komplexen Bestellprozessen im Admin.

Highlights

• Symfony 7.4 Update Die Symfony-Komponenten wurden auch in der 6.6-LTS auf Version 7.4 aktualisiert – wichtig für langfristige Wartbarkeit.
• Kompatibilität mit älteren OpenSSL-Versionen Die IAP-Dekodierung funktioniert nun wieder zuverlässig.
• Stabilere Produktdarstellung Produktlistings zeigen wieder konsistent die Hauptvariante statt zufälliger Varianten.

Core & Datenbank

• Bereinigung veralteter PDO-Konstanten Entfernt deprecated PDO-Nutzung und sorgt für bessere PHP-Kompatibilität.
• Optimierte DAL-Abfragen Ungefilterte Many-to-Many-Relationen werden nicht mehr unnötig geladen – bessere Performance und geringerer Speicherverbrauch.
• Attribut-Entitäten zuverlässig verfügbar Automatisch konfigurierte Attribute werden nun korrekt registriert.

Administration & Backend

• Bestandsbearbeitung verbessert Bulk-Edits erlauben nun auch negative Lagerbestände (z. B. für Vorbestellungen oder Backorders).
• Custom Fields stabilisiert Fehler beim Einfügen von Tabellen in benutzerdefinierten Feldern wurden behoben.
• PHPStan aktualisiert Verbesserte statische Codeanalyse für Entwickler und CI-Pipelines.

Dokumente, E-Mails & Workflows

• E-Mail-Anhänge bleiben erhalten Anhänge gehen bei Flow-Actions nicht mehr verloren.
• Dokument-Footer korrigiert Die Platzierung von Footer-Inhalten in Dokumenten (z. B. Rechnungen) ist wieder konsistent.

Highlights

• Symfony 7.4 Update Alle Symfony-Komponenten wurden auf Version 7.4 aktualisiert. Wichtig: Die PHP-Redis-Extension wird nun in Version ≥ 6.1 vorausgesetzt.
• Deutlich bessere Performance im DAL Verschachtelte Filtergruppen nutzen nun EXISTS-Subqueries statt mehrfacher LEFT JOINs – massive Performancegewinne bei komplexen Kriterien.
• Produkt-Typ statt Produkt-States Einführung des neuen Feldes product.type (z. B. physical, digital) als Ersatz für die bisherigen States.
• Erweiterte GA4-Integration Deutlich verbesserte Tracking-Daten über den gesamten Checkout- und Listing-Funnel.

Core, Performance & Architektur

• Produktkategorie-Denormalisierung beschleunigt Optimierte SQL-Abfragen reduzieren Laufzeiten von mehreren Sekunden auf unter 1 ms bei großen Katalogen.
• Immutable DAL-Felder Kritische Felder wie custom_field.name oder custom_field.type können nach Erstellung nicht mehr geändert werden – Schutz vor inkonsistenten Systemzuständen.
• RequestParamHelper Neuer Helper als Ersatz für das deprecated Request::get() mit sauberer Trennung von Query-, Request- und Attribute-Bags.
• Domain Exceptions Factory-Methoden liefern nun konkrete Exception-Typen statt generischer RuntimeExceptions.

HTTP-Caching & Infrastruktur

• Tag-basiertes Cache-Invalideren Weitere Store-API-Routen unterstützen Cache-Tags mit automatischer Invalidierung.
• Feinsteuerung über HttpCacheCookieEvent Neue doNotStore-Option erlaubt gezieltes Unterbinden von Cache-Speicherung einzelner Responses.
• Flash-Messages nicht mehr cachebar Verhindert, dass Meldungen bei anderen Nutzern erscheinen.
• Logging für Cache-Tags Invalidierungen können optional auf Info-Level geloggt werden.

Administration

• Ladeindikator beim Admin-Start Bei langsamer Initialisierung erscheint ein Loading Screen statt leerer Fläche.
• Media Model Viewer 3D-Modelle lassen sich direkt im Medienmodul interaktiv betrachten.
• Custom Fields suchbar konfigurierbar Suchbarkeit ist nun explizit aktivierbar – kleinere Indizes und bessere Performance.
• Mail-Templates vorbereitet auf 6.8 Trennung von Templates und Header/Footer, mehrere Deprecations angekündigt.

Storefront & User Experience

• Sprachabhängiger Cookie-Consent Cookie-Zustimmung wird pro Sprache gespeichert – kein erneutes Banner beim Sprachwechsel.
• Verbesserte Accessibility Cookie-Dialog mit Toggle-Switches, ARIA-Attributen und semantischen Buttons.
• Navigation-Helper Neue JS-Variable window.activeNavigationPathIdList für individuelle Navigation-Highlights.
• iOS-Safari-Fix Erstes Tippen auf Produktdetail-Seiten funktioniert wieder korrekt.

Tracking & Analytics (GA4)

• Erweiterte Event-Daten für add_to_cart, purchase, view_item u. a.
• Neue Events wie view_cart, add_shipping_info und add_payment_info.
• Optionales Tracking des Offcanvas-Warenkorbs.
• Empfohlene Funnel-Optimierung durch gezielte Offcanvas-Steuerung.

Administration & Internationalisierung

• Reaktive Snippets Die Behandlung von Sprach-Snippets wurde überarbeitet, sodass Änderungen an Locale-Nachrichten nun korrekt reaktiv im Admin reflektiert werden. Das verbessert insbesondere die Arbeit mit mehrsprachigen Setups und dynamischen Sprachwechseln.

HTTP-Cache & Technik

• TypeError im HTTP-Cache behoben Ein Fehler trat auf, wenn das _httpCache-Routenattribut als String definiert war. Dieser Fall wird nun korrekt behandelt und führt nicht mehr zu Laufzeitfehlern.

Performance & Stabilität

• Schnellerer Kategorie-Denormalizer Die Verarbeitung und Aufbereitung von Kategorien wurde performanter umgesetzt, was sich positiv auf Indexing und Backend-Performance auswirken kann.
• DAL-Optimierung bei komplexen Filtern Bei verschachtelten Filtergruppen werden nun effizientere Bedingungen erzeugt (EXISTS statt LEFT JOINs) – das kann Abfragen spürbar beschleunigen, gerade bei großen Datenmengen.

Suche

• Slash und Backslash in Suchbegriffen Zeichen wie / und \ funktionieren nun korrekt in der Suche, sofern sie als „preserved characters“ konfiguriert sind.

Checkout & Storefront

• Captcha-Validierung verbessert Die Captcha-Prüfung respektiert nun den Parameter errorRoute, sodass Nutzer bei Fehlern sauber auf die richtige Route zurückgeführt werden.

Produkte & Preise

• Variantenpreis über Sales Channels hinweg Der günstigste Preis einer Variantenstruktur wird nun konsistenter über mehrere Verkaufskanäle angewendet.

SEO & Sitemap

• Neues Event bei der Sitemap-Generierung Es wurde ein Event hinzugefügt, das die Sitemap-Erstellung besser erweiterbar macht (z. B. für Plugins oder individuelle Prozesse).

Technik, Composer & CI

• Composer/Require stabiler Anpassung rund um minimum-stability, um unerwartete Abhängigkeitsauflösungen zu vermeiden.
• CI-Verbesserungen Optimierungen für Build-/Downstream-Prozesse (z. B. Skip bei fehlenden Write-Rechten) sowie interne Wartungsanpassungen für Update-Pipelines.

Sicherheitsverbesserungen

• Security-Fix Korrektur der Verarbeitung von Array-Callables in der Security-Extension, um potenziell missbräuchliche bzw. unerwartete Aufrufe zu verhindern.

Highlights

• HTTP-Caching Rework (experimentell) Neue Caching-Policies ermöglichen Cache-Verhalten pro Bereich (Storefront, Store API) und pro Route – aktivierbar per Feature-Flag CACHE_REWORK.
• Store API wird cache-fähiger Ausgewählte Endpoints sind als cacheable markiert und liefern passende Cache-Control-Header – für spürbar bessere Performance bei Headless/Store-API-Setups.
• Sicherheits-Plus im Kundenkonto Neuer Flow: Bei einer Passwortänderung erhalten Kunden automatisch eine Bestätigungs-E-Mail – hilfreich, um verdächtige Aktivitäten schneller zu erkennen.
• PHP 8.5 Support Shopware ist nun vollständig kompatibel mit PHP 8.5.

Store API & API

• Store API: HTTP-Caching für viele Routen Mehrere zentrale Endpoints (z. B. Navigation, Kategorien, CMS, Produkte, Suche, Reviews) unterstützen jetzt HTTP-Caching und wurden für GET-Requests optimiert.
• Komplexe Criteria ohne URL-Limit Criteria können in GET-Requests komprimiert übergeben werden (JSON → gzip → base64url) – als Workaround, bis ein standardisiertes QUERY-Verfahren verfügbar ist.
• Dokument-Download verbessert Der Dokument-Download liefert den Dateityp nun abhängig vom Accept-Header aus (Standard: PDF bei fehlendem Header oder */*).
• Video Cover Management Neuer API-Endpunkt zum Setzen oder Entfernen eines Cover-Bildes für Video-Medien. Beim Löschen eines Cover-Bildes werden Referenzen automatisch bereinigt.

Core & Entwickler

• Neue Caching-Logik & Deprecations Bisherige Mechanismen rund um sw-states und Währungs-Handling werden schrittweise abgelöst. Die Steuerung des Cache-Verhaltens erfolgt künftig zentral über den sw-cache-hash-Cookie.
• Vorbereitung auf „Cache auch für eingeloggte Kunden“ Durch die Deprecations wird deutlich: In der nächsten Major-Version wird HTTP-Cache standardmäßig auch bei eingeloggten Kunden bzw. gefülltem Warenkorb aktiver sein. Extensions sollten darauf vorbereitet werden.
• Neue Struct-Hydration (assignRecursive) Für Import/Export & Rehydration komplexer Datenstrukturen gibt es eine rekursive Assign-Methode, die auch verschachtelte Structs/Collections wiederherstellen kann (nicht für Performance-kritische Schleifen gedacht).
• SEO-URL Performance für Kategorien SEO-URLs für Child-Kategorien werden nicht mehr synchron erzeugt, sondern asynchron über den Indexer – das beschleunigt die Kategorie-Indexierung deutlich.

Administration

• Loading Screen bei längerer Initial-Ladezeit Wenn die Admin-Seite beim Start länger als zwei Sekunden braucht, erscheint nun ein Ladeindikator statt einer leeren Fläche.
• Settings-Suche Im Einstellungsmodul gibt es jetzt eine Suchleiste (oben rechts), um Settings schneller über Begriffe zu finden.
• Viele Detail-Optimierungen Diverse UX- und Performance-Verbesserungen, u. a. bei Medien-Upload, Data Grids, Snippets und Formular-/Editor-Darstellung.

Storefront

• IDN E-Mail-Adressen Die Storefront-Validierung unterstützt jetzt Domains mit internationalisierten Zeichen (IDN). Default-Formulare sind dafür vorbereitet.
• UI-/A11y- und Detailfixes Zahlreiche kleinere Anpassungen verbessern Barrierefreiheit, Stabilität und Darstellung (u. a. E-Mail-/Order-Kommunikation, Slider, Offcanvas).

Hosting & Konfiguration

• Elasticsearch: Sprach-Analyzer steuerbar Über SHOPWARE_ES_USE_LANGUAGE_ANALYZER kann eingestellt werden, ob Suchanfragen sprachspezifische Analyzer (fuzzier) oder ein Whitespace-Analyzer (präziser) nutzen.
• Staging Mode: Extensions automatisch deaktivieren Neue Konfiguration ermöglicht, definierte Extensions beim Aktivieren des Staging-Modus automatisch zu deaktivieren.
• Deprecated HTTP-Cache Parameter Mehrere bisherige HTTP-Cache-Parameter/Env-Variablen sind veraltet und haben mit aktivem CACHE_REWORK keine Wirkung mehr (Entfernung in 6.8 geplant).

Sicherheitsverbesserungen

• Verbesserte Eingabevalidierung auf der Login-Seite Request-Parameter werden nun korrekt validiert, wodurch Manipulationsversuche und unzulässige Eingaben zuverlässig verhindert werden.

Fehlerbehebungen

• Theme-Manager Tabs korrigiert In der 6.7.x-Reihe wurden die Tabs im Theme-Manager teils nicht angezeigt. Dieses Verhalten wurde behoben, sodass alle Konfigurationsbereiche wieder vollständig sichtbar und nutzbar sind.

Sicherheitsverbesserungen

• Verbesserte Eingabevalidierung auf der Login-Seite Um Manipulationen und unerlaubte Eingaben zu verhindern, werden Parameter im Login-Formular nun korrekt validiert. Dadurch wird die Sicherheit sensibler Kundeninformationen weiter erhöht.

Content-Management & Erlebniswelten

• Vererbung sichtbar gemacht: Im Admin wird nun angezeigt, ob Inhalte aus einer Erlebniswelt vererbt oder lokal überschrieben wurden.
• Live-Aktualisierung des Vererbungsstatus: Änderungen an Inhaltselementen aktualisieren sofort den Status.
• Zurücksetzen von lokalen Anpassungen: Ein neuer Button ermöglicht das Wiederherstellen des ursprünglichen Layouts.
• Warnungen bei Layout-Wechsel oder Löschung: Hinweise erscheinen, wenn lokale Änderungen verloren gehen würden.
• Verbessertes CMS-Handling mit klareren Hinweisen und korrigierten Fehlermeldungen beim Löschen von Sektionen.

Optimierte Steuerlogik für B2B & B2C

• Überarbeitete Steuererkennung mit klarer Unterscheidung zwischen B2B- und B2C-Kund:innen.
• Fehlerfreie Anwendung von Steuerregeln bei Konfigurationen wie „steuerfrei für B2C“.
• Stabilerer Checkout-Prozess, insbesondere beim Gast-Checkout und bei Versandartenwechseln.

SEO, robots.txt & Suche

• Erweiterte robots.txt-Konfiguration mit Unterstützung eigener User-agent-Blöcke.
• Neue Parser-Logik mit besseren Fehlermeldungen und transparenterem Handling.
• Bessere SEO-Steuerung sensibler Bereiche wie Checkout und Warenkorb.
• Verbesserte URL-Zusammenstellung und korrektes Zurücksetzen kanonischer IDs.
• Optimierte Suchfunktion: Sonderzeichen funktionieren zuverlässig, Produkte werden konsistenter gefunden.
• Verbesserte OpenSearch-Kompatibilität.

Shopware Copilot & kommerzielle Features

• Neue Copilot Skills Overview für eine zentral einsehbare Übersicht aller Skills.
• Transparente Skill-Verwaltung als Grundlage für kommende Automatisierungen.
• Aktuelle Skills: Knowledge Assistant und Data Insights (Beta); weitere folgen 2026.
• Flexible Erweiterbarkeit für Shopware Commercial Kunden.

Admin & Backend-Usability

• Verbesserte Select-Listen mit zuverlässigem Nachladen beim Scrollen.
• Suchen im Import/Export wurde erweitert und unterstützt technische Profilnamen.
• Strengere Validierung der Produktnummer zur Fehlervermeidung.
• Klarere Fehlermeldungen bei Importen, Dokumenten & Demo-Daten.
• Neue Tabelleninformationen wie Benutzername in der Import/Export-Liste.
• Korrigierte Sidebar-Darstellung für konsistentere UI-Breite.
• Neuer CLI-Befehl zum Ersetzen von Sales-Channel-URLs.

Storefront, Navigation & User Experience

• Korrigierte Bewertungssterne mit verbesserter Accessibility.
• Optimierte Navigationslogik: Menüs schließen zuverlässiger.
• Neue Tooltips bei Produktbildern im Kategorie-Listing.
• Optimierte Cross-Selling-Animation mit anpassbarer Geschwindigkeit.
• Korrigierte SVG-Anzeige und behobene Dokumentensuchfehler.

Produkte, Varianten & Kataloglogik

• Korrekte Berechnung des günstigsten Variantenpreises über Verkaufskanäle hinweg.
• Höhere Dezimalgenauigkeit für Gewichtseinheiten.
• Packeinheit kann als wesentliches Merkmal gesetzt werden.
• Stabileres Löschen von Varianten mit korrekter Abhängigkeitsprüfung.
• Fehlerkorrekturen bei dynamischen Produktgruppen.
• Neue Bewertungsfilter im Admin.
• Media-Schema für LineItem-Cover zur besseren API-Integration.

Checkout, Zahlungen & Tracking

• Stabilerer Gast-Checkout mit korrekter Adressverarbeitung.
• Blockierte Versandarten wechseln korrekt, ohne den Checkout zu unterbrechen.
• Transaktionen können mehrfach finalisiert werden, was Payment-Callbacks stabiler macht.
• Tracking verbessert, Mehrfachauslösungen verhindert.
• Einzigartige User-IDs für Analytics und zuverlässigere Aktivierung der Dienste.
• Korrigierter Google Consent Mode v2 und getrennte Vimeo-/YouTube-Einwilligungen.

Theme, Medien & automatische Bereinigung

• Theme-Konfigurationsordner wird zuverlässig erzeugt.
• Neuer Speichern-Dialog für Medien im Admin.
• Korrigierter Favicon-Pfad in Admin-Modulen.
• Weitere Ausrollung der Meteor-Token-Stile.
• Behobene Probleme beim Magnifier-Zoom.
• Neuer Cleanup-Task zur automatischen Entfernung beschädigter Medien, ausgelöst durch abgebrochene Uploads.

Developer News & technische Verbesserungen

• Erweiterte Store-API-Dokumentation durch verbesserte OpenAPI Schema Generatoren.
• Neues generisches JWT-Framework zur einfachen Nutzung von JWTs in Sales-Channels.
• Optimierte Datenbank-Stabilität dank überschreibbarer Doctrine-Wrapper-Connection.
• Verbesserte Sortierlogik bei Exports.
• Stabilerer App-Lifecycle bei komplexen Entitätsbeziehungen.
• Neuer Service zur Erkennung reservierter URLs.
• Behobene Konflikte mit Cache-Clearer und Context-Token.
• Aktualisierte PHPStan-Setups und weitere Code-Qualitätsverbesserungen.

Wichtige Änderungen

• Verbesserte Shop-ID-Verifizierung In Systemen mit atomaren Deployments wird die Shop-ID zuverlässiger geprüft, was Stabilität und Konsistenz verbessert.
• Korrekte Anzeige von Bewertungssternen Teilbewertungen werden in der Storefront wieder sauber positioniert dargestellt.
• Analytics wieder vollständig aktiv Fehlende Systemservices für Storefront Analytics und Google Analytics wurden ergänzt.
• Versandarten korrigiert Blockierte Versandarten werden nun zuverlässig gewechselt, sodass immer eine gültige Versandmethode verfügbar ist.
• Fehler im Gast-Checkout behoben Das Ändern der Standardadresse führt bei Gastbestellungen nicht mehr zu einem 403-Fehler.

Sicherheitslücke

• Passwort-Wiederherstellung Passwort-Reset-Links liefen bei Änderung der E-Mail-Adresse nicht automatisch ab. Dieses Verhalten wurde korrigiert – Links verfallen nun ordnungsgemäß nach einer E-Mail-Änderung.

Sicherheitslücke

• Passwort-Wiederherstellung Eine Schwachstelle führte dazu, dass Passwort-Reset-Links nicht automatisch ungültig wurden, wenn ein Nutzer seine E-Mail-Adresse änderte. Dieses Verhalten wurde korrigiert – Wiederherstellungslinks verfallen nun ordnungsgemäß bei jeder Änderung.

Allgemeine Verbesserungen

• Optimierte Verwaltung von Medien, Versanddetails und Modalfenstern in der Administration.
• Stabilere Verarbeitung bei Cache-Mechanismen und Nachrichtenwarteschlangen.
• Verbesserte Fehlerausgabe und Logik in der CI-Umgebung und im App-Loader.
• Aktualisierte Health-Check-API für eine zuverlässigere Systemüberwachung.

Administration & Benutzeroberfläche

• Neue Benutzeraktionen in der Medien-Seitenleiste und korrigierte Mediensuchnavigation.
• Fehler in der Benutzererstellung, der Sidebar-Breite und der SCSS-Farbvalidierung behoben.
• Überarbeitete Innenabstände im Admin-Modal und verbesserte visuelle Konsistenz der Admin-Komponenten.
• Admin-Benachrichtigungstransformatoren hinzugefügt für klarere Systemmeldungen.

Storefront & Benutzererlebnis

• Bessere Barrierefreiheit durch aria-labels bei CMS-Bildlinks.
• Fix für nicht funktionierende Offcanvas-Cookie-Links und interaktive Cookie-Einstellungen.
• Verbesserter Umgang mit Google Consent Mode v2 und getrennte Einwilligungen für Vimeo & YouTube.
• Google reCAPTCHA wird nur geladen, wenn Cookies akzeptiert wurden.
• Verbesserte Darstellung und Navigation im Cookie-Offcanvas-Bereich.

Produkte, Katalog & Suche

• Fehler in der Abverkaufslogik korrigiert – Rabatte werden nun auch bei Warenkorbartikeln korrekt berücksichtigt.
• Suchergebnisse zeigen Produkte, deren übergeordnete Artikelnummer übereinstimmt.
• Produktströme können über OpenSearch geladen werden – bessere Performance bei großen Datenmengen.
• Option zur Definition zusätzlicher Sortierkriterien für Produkte ergänzt.
• SEO-URL-Vorschau korrigiert – generierte Vorschauen zeigen wieder korrekte Pfade.

CMS & Erlebniswelten

• Granulare Vererbung für slot_config-Überschreibungen ermöglicht flexiblere CMS-Strukturen.
• Neue Twig-Blöcke in Produktboxen reduzieren redundanten Code.
• CMS-Bildelemente können jetzt mit fester Ladepriorität (fetchpriority="high") versehen werden.
• Option hinzugefügt, Formularvalidierungen automatisch auszulösen (FormAutoSubmit).

Technik & Entwickler

• MySQL-, Symfony- und OpenSearch-Kompatibilität weiter verbessert.
• Neue Konfigurationsoption zur Begrenzung der Nachrichtengröße in der Queue.
• Problem mit globaler Cache-Sperrung bei Kernel-Neustarts behoben.
• Separate Cookie-Einwilligungen für Videoanbieter implementiert.
• Verbesserte Behandlung von IAP-Dekodierung bei älteren OpenSSL-Versionen.
• Webhook-Protokolle werden zuverlässig bereinigt, Fehler im Queue-Prozess beseitigt.
• Neue Ereignisse für das Laden von Entitäten in der Sitemap hinzugefügt.
• Option für COMPOSER_PLUGIN_LOADER-Variable im CLI-Befehl berücksichtigt.
• Erstellung von Plugins ergänzt um automatisch generierte .gitignore-Dateien.

Highlights

• Kompatibilität Mindestversion für MySQL angehoben, Symfony-Komponenten aktualisiert und OpenSearch 3.x unterstützt.
• Performance & Stabilität Schnellere Eigenschaftsabrufe bei Produkten und Fix für eine rekursive Warenkorbsperre.
• Suche & SEO Korrektes Datums-/Zeitformat in Elasticsearch, stabilere Dokumentnummern-Suche im Admin sowie mehrere SEO-URL-Korrekturen.

Storefront & Einkaufserlebnis

• Zoomfunktion korrigiert – verhindert zu große Fenster.
• Anzeige der Einzelpostensteuern mit Steuer-Provider korrigiert.
• Relevante Produkte ohne Vorschau in der Suche anzeigen.
• Leere Rechnungsseiten behoben und gequetschte Dokumentzeilenliste korrigiert.
• Globales Format für Blockzitate hinzugefügt.

Administration & Bestellungen

• Duplizierte Adressanzeige in sw-order-detail behoben.
• Suche nach Dokumentnummern liefert wieder Ergebnisse.
• Korrekte Ausnahme, wenn ein Update an einer Entität an einer FK-Beschränkung scheitert.
• Fix für leere Rechnungsseiten und korrigierte Slot-Konfiguration.

Produkte, Preise & Katalog

• Erweiterte Preise bei Rabatten auf Festpreisartikel korrigiert.
• Fehler beim Entfernen der „Hauptkategorie“ eines Produkts behoben.
• Inkonsistente SEO-URLs bei Cross-Selling-Produkten korrigiert und Datenbankfehler bei SEO-URL-Änderungen behoben.

Suche & SEO

• Überprüfung kanonischer SEO-URLs auch ohne Pfadangabe bei Erstellung.
• Elasticsearch: Datums-/Zeitformat korrigiert.
• Suchkonfigurationslade-Klasse ins Core-Bundle verschoben und minimale Suchbegriffslänge aus Konfigurationstabellen genutzt.

Technik & Entwickler

• ResetInterface-Support in langlaufenden Runtime-Umgebungen wiederhergestellt.
• Problem beim Entfernen von Composer-Plugins gefixt.
• Benutzerdefinierte Felder mit gleichem Namen wie Fremdschlüssel korrekt behandelt.
• .docx-Dateierweiterung nun erlaubt.
• SwitchContextEvent aktualisiert und API-Aware-Flag für Proxy-Requests korrigiert.
• Korrektur des Kundenkontexts beim Login, wenn Eintrag in sales_channel_api_context abgelaufen war.
• Fix für Cache-Cookies zur Vermeidung von Cache-Poisoning.
• Initialisierung von DiscountCampaignStruct korrigiert, zusätzliche Properties ergänzt.

Was wurde verbessert

• Mehr Datenschutz Beim CSV-Export werden keine vertraulichen Daten mehr versehentlich mit ausgegeben.
• Sicherer Upload Der Plugin-Upload wurde abgesichert, um Manipulationen zu verhindern.
• Stabilere Medienverwaltung Mediendateien sind besser gegen unbefugte Zugriffe geschützt.
• Schutz vor Fremdzugriffen Serveranfragen über Rechnungsfunktionen können nicht mehr missbraucht werden.
• Verlässliche Storno-Logik Bestellungen lassen sich nur noch stornieren, wenn Rückerstattungen aktiviert sind.

Weitere Verbesserungen

• Kompatibilität mit OpenSearch 3.x hergestellt.
• Verbesserte Suche im Admin-Bereich.
• Fehlerbehebung beim Löschen aktiver Kundenadressen.
• Optimierte Verarbeitung von Produktregeln und Rabattcodes.

Wichtige Sicherheitsverbesserungen

• Sicherer Umgang mit Mediendateien Unbefugter Zugriff auf geschützte Medieninhalte wird zuverlässig verhindert.
• Datenschutz beim CSV-Export Persönliche oder vertrauliche Informationen werden beim Export nicht mehr versehentlich ausgegeben.
• Schutz vor externen Anfragen (SSRF) Der Aufruf externer Server über Rechnungsfunktionen ist jetzt abgesichert.
• Sicherer Plugin-Upload Manipulationen über den Plugin-Upload sind nicht mehr möglich.
• Verlässliche Storno-Regeln Bestellungen können nur noch storniert werden, wenn Rückerstattungen im System aktiviert sind.

Weitere Verbesserungen

• Kleinere technische Optimierungen für mehr Stabilität.
• Verbesserte Verwaltung interner Prozesse und zuverlässigere Sitemap-Erstellung.

Schneller & stabiler

• Optimierte Caching-Mechanismen für Seiten und Kategorien sorgen für spürbar kürzere Ladezeiten.
• Verbesserte Produktsuche liefert präzisere Ergebnisse und eine bessere Sortierung.
• Zahlreiche interne Optimierungen im Cache und in der Datenverarbeitung steigern die Reaktionsgeschwindigkeit des Systems.

Einfachere Verwaltung

• Überarbeitete Oberfläche für Spracheinstellungen mit klarerer Struktur.
• Stabileres Anlegen und Bearbeiten von Bestellungen im Admin-Bereich.
• Neue Hilfsfunktionen für Suche, Filter und Sortierung von Produkten und Eigenschaften.
• Verbesserte Übersetzungen und Fehlermeldungen im Warenkorb.

Design & Benutzererlebnis

• Zahlreiche kleine Frontend-Anpassungen – u. a. bei Bewertungen, Labels und Navigation.
• Klarere Darstellung von Produktbewertungen und überarbeitete Icons.
• Erhöhte Barrierefreiheit in Storefront und Administration.
• Neue Design-Tokens sorgen für ein einheitliches Erscheinungsbild in hellen und dunklen Themes.

Produkte & Inhalte

• Kategorien und Eigenschaften lassen sich einfacher verwalten und filtern.
• Produktvarianten werden jetzt korrekt in Suchergebnissen dargestellt.
• Fehler beim Löschen oder Synchronisieren von Produkten wurden behoben.
• CMS-Elemente zeigen ihren Typ und Inhalt nun klarer an.

Technik & Sicherheit

• Neue Sicherheits- und Cache-Mechanismen vermeiden Datenkonflikte.
• Kompatibilität zu neueren Symfony-Versionen hergestellt – wichtig für Entwickler.
• Bessere Unterstützung für read-only-Server und restriktive Dateisysteme.
• Scheduled Tasks laufen stabiler und werden bei Problemen automatisch wiederhergestellt.

Bugfixes

• Profiler Der Symfony-Profiler wird nun korrekt in Produktionsumgebungen deaktiviert, um unnötige Belastungen zu vermeiden.
• Kundenadressen Fehler behoben, bei dem aktive Kundenadressen fälschlicherweise gelöscht werden konnten.
• Validierung Behebung eines Typfehlers bei der Verwendung benannter Argumente in der Length-Validierungsregel.

Sicherheit

• Escaping aktiver Routenparameter Sicherheitslücke geschlossen, indem aktive Route-Parameter korrekt escaped werden (GHSA-9v82-vcjx-m76j).

Bugfixes

• Promotionen Fehler behoben, bei dem die Produktauswahl-Regel in Promotionen fehlte.

Neue Features & Verbesserungen

Neue Features & Verbesserungen · Übersetzungen

• Neuer Befehl zum Download und Installieren von Übersetzungen.

Neue Features & Verbesserungen · Suche

• Minimale Suchlänge jetzt konfigurierbar.
• Neue Sortieroptionen für Live Search.
• Verbesserte Performance bei der Produktsuche im Admin und Storefront.
• Unterstützung für numerische Tokens in der Admin-Suche.

Neue Features & Verbesserungen · Design Tokens & Dark Mode

• Einführung von Design Tokens in Smart Bar, Dashboard, Grid, Tabs, Tooltip, Switch und Help Center.
• Dark-Mode-Support für Sidebar, Selects und Modals.

Neue Features & Verbesserungen · CMS & Storefront

• Verbesserte Zugänglichkeit des Captchas.
• Fehlerkorrekturen bei CMS-Inhalten, Block-Rendering und Slot-Konfiguration.
• Neue ARIA-Labels für Slider und optimierte Navigation.
• fetchpriority-Attribut für Bildslider hinzugefügt.

Neue Features & Verbesserungen · Kategorien & Navigation

• Kategorien-Pfadanzeige repariert.
• Laden aller Kategorien im aktiven Pfad.
• Verbesserte Navigation-Cache-Invalidierung.

Neue Features & Verbesserungen · Administration

• Verbesserte Fehlerdarstellung bei CMS-Konfiguration und Formularen.
• Sidebar jetzt per Dragging erweiterbar.
• Neue Events und erweiterte API-Schnittstellen (z. B. Cart-Daten im Symfony-Profiler).

Neue Features & Verbesserungen · Dokumente

• Neue Optionen für Rücksendeadressen und Darstellung von Steuerrichtlinien.
• Fehlerbehebungen bei Kreditnoten und Rechnungen.

Neue Features & Verbesserungen · Technik & Core

• Unterstützung für Soft Purge im HTTP-Cache.
• Neuer Scheduler für geplante Tasks.
• Verbesserte Handhabung von Foreign-Key-Fehlern.
• Update auf DBAL 4.3.1 und Symfony-Komponenten.
• Mindestanforderung für MySQL angehoben.
• Neue Events für Entity-Erweiterungen und Hooks.

Neue Features & Verbesserungen · Elasticsearch & Caching

• Elasticsearch-Abfragen und Indizierung optimiert.
• Stale-Cache-Handling über Queue verbessert.
• Erweiterte Cache-Strategien, u. a. mit vary headers für Kontextvariablen.

Bugfixes

• Fehler bei Medien-Thumbnails und Import von Produktbildern behoben.
• SEO-URL-Generierung stabilisiert, auch bei Änderungen oder Varianten.
• Probleme mit Cross-Selling-Produkten, Gast-Logout, App-Resets und Admin-Sessions gelöst.
• Preisberechnungen und Rundungsfehler bei erweiterten Preisen korrigiert.
• Mehrere UI-Verbesserungen für Sidebar, Modals, Suchfelder und Navigation.

Bugfixes & Verbesserungen

• Eigenschaften-Suche Korrektur der Sortierung bei der Suche nach Property-Werten.
• Text-Editor Statt mt-text-editor wird wieder der klassische sw-text-editor verwendet.
• App-Verwaltung Problem behoben, bei dem aktive Apps nach Deaktivierung nicht korrekt zurückgesetzt wurden.
• Sichtbarkeit-Parameter Prüfung für Sichtbarkeit verbessert (Backport aus 6.7.1.0).
• Komponenten createdComponent wieder als synchron gesetzt.
• Medien Rückwärtskompatibilität für MediaThumbnailEntity wiederhergestellt.
• Warenkorb Fehler bei der Deserialisierung von Cart-Daten behoben.
• SEO-URLs Inkonsistente SEO-URLs bei Cross-Selling-Produkten korrigiert.
• Suche
  • search config loader in das Core-Bundle verschoben.
  • Mindestlänge für Suchbegriffe nun auch in Konfigurations-Tabellen berücksichtigt.
• Datenbank Fehler behoben, bei dem die Primärverbindung nicht funktionierte, wenn eine Replikation konfiguriert war.

Bugfixes & Verbesserungen

• SEO-URLs Beim Erstellen von SEO-URLs wird nicht mehr nach einer kanonischen URL gesucht, wenn keine Pfadinformationen vorliegen.
• Theme Lifecycle Behebung eines Problems, bei dem refreshThemes ohne vorhandene Plugin-Konfigurationen ausgeführt wurde.
• Theme Kompilierung Fehler behoben, der zur Beschädigung der ThemeRuntimeConfig führen konnte.

Administration & Core

• Neue State-Machine-Einstellungen zur besseren Verwaltung von Zahlungs- und Versandstatus.
• Einführung eines Messsystem-Moduls inkl. DAL, Migrationen und Admin-Einstellungen.
• Neue App-Befehle (app:list), zusätzliche ACL-Hooks und Verbesserungen beim Admin-SDK.
• Viele Vuex-Stores durch Pinia-Stores ersetzt → stabilere und modernere Verwaltung.
• Verbesserte Theme-Konfiguration (Validierungen, Inheritance, Optimierungen beim Laden).
• Bessere Fehlerbehandlung in Storefront-JS-Plugins und dem Plugin Manager.

Performance & Stabilität

• Verbesserte Elasticsearch-Suche (Scoring für numerische Tokens, Filter-Korrekturen, Performance-Optimierungen).
• Cart- und Checkout-Prozesse abgesichert durch Locking, neue Events, verbesserte Filter und Fehlerbehandlung.
• Optimierungen in der Indexierung (z. B. MediaIndexing überspringen bei Remote-Thumbnails).
• Bessere Performance beim Laden von Kategorien, Media-Dateien und Produkt-Streams.

Storefront & UX

• Verbesserte Accessibility: u. a. für Slider, Navigation, Formulare, Promotions und Checkout.
• Erweiterte CMS-Funktionalitäten: neue Twig-Blocks, bessere Slot-Auswahl, Korrekturen für Filter und Slider.
• Neues 3D-/AR-Viewer-Handling inkl. DIVE-Unterstützung und verbessertem Kamera-Setup.
• SEO-Optimierungen: Korrekturen bei SEO-URLs, Landingpages und OpenGraph-Tags.
• Verbesserte Warenkorb-Logik (Sperren bei konkurrierenden Änderungen, Line-Item Handling, Promotions).

API & Developer Features

• Neue APIs und Events (u. a. Sitemap-Generierung, SalesChannelContext-Anpassungen, deduplizierbare Nachrichten).
• Erweiterte Entity-Attribute (ManyToMany, Attributed Entities).
• Erweiterungen bei Produkt- und Variantensuche (bessere Treffer für Suchbegriffe).
• Verbesserungen bei Dokumenten (Authentifizierung beim Download, Rechnungs- und Gutschriftennummern).
• Neue robots.txt-Konfiguration und flexible Anpassungen über die API.

Bugfixes

• Zahlreiche Fixes bei Promotionen, Bestellungen und Rechnungen.
• Korrekturen bei Mehrsprachigkeit (Fallbacks, Übersetzungen, i18n).
• Behebung diverser Fehler in der Administration (Grid-Darstellung, Tooltips, Sidebar-State, Variablenvererbung).
• Verbesserungen bei Medienverwaltung und Uploads, inkl. Remote-Thumbnail-URLs.
• Fixes für Benutzerrechte, Sessions und Login-Prozesse.

Verbesserungen & neue Features

• UX ESC-Taste im Modal führt nun zurück zur Listenansicht → intuitivere Bedienung.
• Medienverwaltung Hersteller-Bilder verwenden jetzt das neue Medien-Modal anstelle der Sidebar.

Bugfixes

• Warenkorb & Preise Gestapelte Line-Items berücksichtigen wieder korrekt die erweiterten Preise.
• Suche Live-Suche stürzt nicht mehr ab, wenn keine Daten vorhanden sind.
• ESI-Rendering Fehler beim Rendern von ESI werden nicht mehr ignoriert, sondern korrekt behandelt.

Verbesserungen & neue Features

• SEO & URLs Verbesserte Darstellung von SEO-URLs im Registrierungsformular für Kundengruppen.
• Produktlisting & Suche
  • Erweiterungen aus IdSearchResult werden nun korrekt an EntitySearchResult im ProductListingLoader übergeben.
  • Elasticsearch-Fixes für dynamische Produktgruppen mit Custom Fields.
• Custom Fields Verbesserte Übersetzung und Zugriff auf Custom-Field-Werte.
• Technik & Kompatibilität Vue 3-Kompatibilität für Template-Refs in Cross-Selling-Komponenten.
• E-Invoices Unterstützung für vertikale Steuerberechnung bei elektronischen Rechnungen.

Bugfixes

• Produkte & Varianten
  • Fehlerhafte Anzeige von NaN% beim Generieren von Varianten behoben.
  • Korrektur beim Anlegen essenzieller Produkteigenschaften mit mehr als zwei Werten.
  • Leere Zustandslisten bei Varianten-Positionierung korrigiert.
• Medien & Hersteller Logo-Feld für Hersteller-Medien wird wieder korrekt ausgerichtet.
• Property Groups Limitierung beim Laden von Optionen in der Detailansicht eingeführt, um Performance-Probleme zu vermeiden.
• Storefront & Login Konsistentes Verhalten zwischen Login- und Registrierungsseite für Gastkunden.
• Routing & System Verbesserungen beim Entpacken von Nachrichten im Routing.
• API Schema der Store-API-Kriterien-Endpunkte korrigiert.

Verbesserungen & neue Features

• Datenschutz & Standards Alte Datenschutzhinweise durch aktuelle ersetzt.

Verbesserungen & neue Features · Themes & Design

• Neue Option skip-theme-compile beim Deinstallieren von Apps.
• Verbesserungen am Theme-Assignment (mt-checkbox ersetzt alte Komponente).
• Theme-Änderungen verursachen weniger Downtime.
• Fix für verlorene Theme-Einstellungen bei schneller Navigation.
• Sidebar durch neues Media-Modal ersetzt.
• Anpassungen im Account-Design und beim Tooltip-Styling.

Verbesserungen & neue Features · Administration

• Refactoring der Snippet-Set-Liste.
• Promotions-Regeln werden korrekt als Line-Item-Rule angezeigt.
• Hersteller ohne Link werden korrekt als
  statt dargestellt.
• Bessere Darstellung von Labels im Kunden-Detail.
• Anzeige des gerenderten Typs für Steuerregel-Einschränkungen.

Verbesserungen & neue Features · Technik & Core

• Neuer Context-Token für aktuelle Requests.
• Meteor-Update auf Version 4.12.1.

Bugfixes

• Storefront & Suche
  • Sortierung der Länder korrigiert.
  • Fehlerhafte Icons bei Suchbegriffen behoben.
  • Reihenfolge von Suchergebnissen in MySQL-Vorschau korrigiert.
  • Varianten-Indikator im Produktlisting wieder sichtbar.
  • Navigation in der ersten Ebene funktioniert korrekt.
• Medien & Uploads Inline-Medien-Upload zeigt wieder ein korrektes Vorschaubild.
• Elasticsearch Korrektur bei dynamischen Produktgruppen mit Preis-/Prozent-Bedingungen.
• Bestellungen
  • Falsches Überschreiben des deepLinkCode bei Neukalkulation korrigiert.
  • Fehler beim Generieren neuer Sprachen behoben.

Verbesserungen & neue Features

• Icons & UI Variable Icon-Namen in sw_icon erlaubt; kleine Größe für Suchfelder und Regel-Auswahl hinzugefügt.

Verbesserungen & neue Features · Navigation & Usability

• Aktive Styling-Klasse für Hauptnavigation ergänzt.
• Verbesserte Back-Button-Links in sw-page.
• Nicht benötigte leere Unterkategorien werden in der Navigation nicht mehr angezeigt.

Verbesserungen & neue Features · Formulare

• Zusätzliche Blöcke für Eingaben in Adress- und Registrierungsformularen.
• Verbesserte Kompatibilität der Captcha-Validierung.
• Neues Verhalten für Validierung eigener Fehlermeldungen.

Verbesserungen & neue Features · Checkout & Cart

• Neuer Locking-Mechanismus für CartOrderRoute.
• Anpassung der Sichtbarkeit bei PropertyGroupOption-Kombinationen.
• Verbesserte Erweiterbarkeit bei ESI-Templates.

Verbesserungen & neue Features · Elasticsearch

• Index-Mapping wird nach Updates zuverlässig angepasst.

Bugfixes

• Admin-Bereich
  • Probleme bei Promotionen, Assets mit Unterstrichen und dem Passwort-Reset behoben.
  • Fehler im UI im Staging-Mode korrigiert.
  • Bessere Kompatibilität bei DDEV mit Vite Watcher.
  • Fix für Rule-Builder-Snippets.
  • Falsche Größen, Proportionen und Platzierungen in Order-Ansichten (Tags, Placeholder, Collapse-Button) behoben.
  • Probleme beim Erstellen neuer Regeln in der erweiterten Preisgestaltung korrigiert.
  • Admin-Watcher Host-Handling für DDEV angepasst.
• Storefront
  • Fehler in CMS-Seitenanzeige bei gesperrten Seiten korrigiert.
  • Korrekte Darstellung von Tags in Bestellungen.
  • Suchergebnisse in Kategorien wieder scrollbar.
  • Fehlerhafte Darstellung im Collapse-Button der Bestellübersicht gefixt.
• Technik & Core
  • Fehlerhafte Admin-ES-Error-Suppression zurückgenommen.
  • Verbesserte Sichtbarkeit von Custom Fields im StructEncoder.
  • Fehler im RetryableTransaction-Handling behoben.
  • Fehlerhafte Reihenfolge in Suchergebnissen gefixt.

Verbesserungen & Features

• Kategorie & Varianten Verbesserte Zuweisung von Varianten zu Kategorien.
• Navigation & Slider Produkt-Cross-Selling-Slider zeigt wieder Navigationspfeile.
• Suche
  • Neues Event für abgefragte Kategorie-IDs.
  • Prefix-Suche für Synonyme deaktiviert, um irrelevante Ergebnisse zu vermeiden.
  • Suchparameter in der API ist jetzt optional.
• OffCanvas
  • Harte OffCanvas-Elemente werden korrekt entfernt.
  • Fehlender Währungstext in der OffCanvas-Auswahl hinzugefügt.

Bugfixes

• Formulare Nebeneinanderliegende Formularfelder auf kleinen Bildschirmen korrigiert; fehlende js-search-form-Klasse im Header ergänzt.
• Bestellungen Verhalten des Eingabefelds für Versandkosten in Admin-Bestellungen korrigiert; Imitation als Kunde nur möglich, wenn Voraussetzungen erfüllt.
• Daten & API Korrektur bei DAL-Vererbung in to-many-Feldern mit Limits; Fehler beim Dispatching von Webhooks für nicht versionierte Events behoben; Paging-Parameter bei Listing-Seitenüberschreibungen korrigiert.
• Sonstiges Fehler bei verschachtelten Line-Items behoben; Probleme bei Extension-Updates gefixt; Typdefinition in ThemeConfigField angepasst; Nutzung von DeleteThemeFilesMessage im ThemeCompiler entfernt.

Verbesserungen & Features

Verbesserungen & Features · Cookie Consent & Tracking

• GTag Consent Mode wird nur gesetzt, wenn Google Analytics aktiviert ist.
• Verbesserte Cookie-Einstellungen für Barrierefreiheit.

Verbesserungen & Features · Schriften

• Storefront nutzt jetzt die Inter Variable Font; alte nicht-variable Fonts wurden entfernt.

Verbesserungen & Features · Promotionen

• Felder beim Duplizieren von Promotionen werden korrekt zurückgesetzt.
• Promotionen können für Admin-Bestellungen festgepinnt werden.

Verbesserungen & Features · Login & Suche

• Login-Skripte ins window-Objekt integriert.
• Verbesserte Barrierefreiheit des Such-Widgets; Suchformular für Screenreader optimiert.

Bugfixes

• Fehler mit HTML-Quirks-Mode in der Storefront behoben.
• Korrektur beim Laden von to-one Associations mit Teil-Daten.
• Problem mit Admin-Module-Ladegrenze (Limit 500) behoben.
• Duplizierte Promotions-Felder werden korrekt zurückgesetzt.

Bugfixes · CI & Entwickler

• Verbesserungen im CI-Workflow (Tokens, Rechteverwaltung, WIP-Handling).
• Cleanup im Storefront-Stylelint.
• composer.stub-Version erhöht.

Neue Features & Erweiterungen

• Neue State-Machine-Settings im Admin-Bereich.
• Twig-Erweiterungen: neue Funktionen & Tokens mit Alternativen für bessere Vererbung.
• Neue Events beim Laden von Bestellungen für Dokumentenerstellung.
• Neuer Address-Manager-Modal für bessere Verwaltung von Adressen.
• Unterstützung für Google Tag Manager.
• Meta Author-Feld für bessere SEO im Frontend.
• Support für og:video-Meta-Tag (Social Media Optimierung).
• Neue Filtermöglichkeiten: equals und equalsAny erlauben jetzt leere Werte.
• Zusätzliche Twig-Blöcke für CMS-Elemente (z. B. Image Gallery).
• OAuth-API Confidential-Flag eingeführt.
• Neue Optionen für E-Invoices: Dateityp-Download und direktes Öffnen.

Performance & Architektur

• Refactoring: Migration zahlreicher Stores von Vuex → Pinia.
• Produkt-Export Performance verbessert (weniger SEO-URL-Calls).
• Checkout-Domain Performance optimiert.
• Elasticsearch: Verbesserte Indexierung für Bestellungen und Produktstreams.
• Admin Vite Proof-of-Concept eingeführt + optimierte Logs.
• MySQL-Performance-Tweaks durch Entfernung unnötiger Variablen.
• doctrine/dbal auf Version 4.2 aktualisiert.
• Produkt-Stream-Updater Performance verbessert.

Storefront & Usability

• Produkt-Slider Refactoring inkl. Speed-Konfiguration & Animation.
• Zahlreiche Accessibility-Verbesserungen (ARIA-Labels, Tastatur-Navigation, Screenreader-Optimierungen).
• Einheitlichere Kontraste und Fokus-Handling.
• Bootstrap 5.3.3 integriert.
• Verbessertes Verhalten bei Off-Canvas-Navigation (Sprache/Währung).
• Neue h1-Überschrift in Listing-Layouts für SEO.
• Wishlist-Page auf noindex gesetzt.
• Cart sofort nach Order gelöscht → weniger Inkonsistenzen.
• Verbesserte Darstellung von Adressen & Dokumenten im Admin.

Administration & Entwickler

• Refactoring MailService und Umstellung auf private File-System-Verarbeitung.
• Neue Attribute: AllowHtml und AllowEmptyString.
• Neue Admin-Komponenten und Twig-Blöcke.
• Neue interne Kommentare in Orders möglich.
• Neue PHPStan-Regeln (z. B. Attribute-Klassen final, validierte Return Types).
• Deprecations: DomAccess-Helper, alter spaceless-Twig-Filter, diverse Vuex-Stores.

Bugfixes & Verbesserungen

• Fehlerbehebungen beim Anlegen von Kunden mit unterschiedlichen Adressen.
• Translation-Scope-Fehler in i18n behoben.
• CMS-Block-Fehler (Removable Check) gefixt.
• Produktbewertungen-Klickfehler korrigiert; fehlerhafte Anzeige von Progress Bars behoben.
• Session- und Redis-Fixes (z. B. CartSavedEvent, CartPersister).
• Fixes in Admin: Bulk-Edit von Custom Fields, Promotion-Modul, Slider-Animation, Order-Detail Karten-Position.
• Fehlerbehebung in CMS-Layout-Overrides via Kategorie.

Fehlerbehebungen & Verbesserungen

• Behebung von Problemen bei Composer-Plugin-Updates.
• Ajax-Modal-Buttons werden nun hinter einem Accessibility-Flag gesteuert.
• Der Mailer-Transport wird nur geändert, wenn er tatsächlich im Container vorhanden ist.
• Verbesserungen im Form-Validator: Snippets werden korrekt escaped, um Fehler mit Sonderzeichen (z. B. Apostrophen) zu vermeiden.
• Doppeltes Absenden von Formularen mit reCaptcha-Plugin wurde behoben.

Fehlerbehebungen

• Korrektur im MessengerMiddlewareCompilerPass, um Fehler im Nachrichten-Handling zu vermeiden.
• Anpassung der Composer-Anforderungen mit Mindeststabilität stable.
• Behebung eines Problems beim Commercial Update.
• Fehler „Class SwTwigFunction not found“ behoben.
• Bulk-Edit Variantenbearbeitung korrigiert.

Neue Funktionen & Verbesserungen

• Unterstützung für Google Analytics BeginCheckoutEvent.
• Neues Feld Meta-Author mit Anzeige im Frontend.
• Erweiterungspunkte für ProductListingLoader und weitere Admin-Komponenten.
• Neue .encode-Events für Store-API-Routen.
• Neuer Adresse-Manager-Modal für verbesserte Adressverwaltung.
• Erweiterung der SystemLanguageChangeEvent im ShopConfigurator.
• Möglichkeit, enum-Felder in der DAL zu nutzen.
• ESI für Header und Footer eingeführt, inkl. globaler Template-Daten.
• Neues Flag für persistente Datenbankverbindungen.
• Spekulations-Regeln für die Storefront hinzugefügt.
• Unterstützung für MySQL-Kompression.
• Verbesserte Elasticsearch-Indexer-Logik; neue Aggregates für Admin API.
• Live-Updates im Warenkorb in der Storefront integriert.
• OAuth-Support für Mail-Authentifizierung.
• Custom Fields storeApiAware verfügbar.

Neue Funktionen & Verbesserungen · Barrierefreiheit (Accessibility)

• Verbesserte Fokus-Outline und einheitliche Tastatur-Navigation.
• Zahlreiche Verbesserungen in Checkout, Modals und Formularfeldern.
• Skip-Button in der Bildgalerie eingeführt.
• ARIA-Labels in Preisfeldern, Formularen und Buttons ergänzt.
• Verbesserte Lesbarkeit von Promotion-Informationen und Discounts.
• Video-Embeds und 3D-Viewer barrierefrei optimiert.
• Mobiles Filterpanel barrierefreier gestaltet.

Fehlerbehebungen

• Fixes im Flow Builder, bei Promotions und Elasticsearch.
• Admin Refresh Token und Login-Session-Verhalten verbessert.
• Fehler bei Adresseditoren, Variantenswitch und Image Gallery behoben.
• Problem bei Löschung von Extensions mit abgelaufenen Lizenzen gelöst.
• Mehrere Bugs im Mailversand, bei Coupons und Zahlungsmethoden beseitigt.
• Fehlerhafte Darstellungen im Checkout, Warenkorb und bei Filteroptionen korrigiert.
• Stabilitätsprobleme rund um Hot Reload und Symfony 7.2-Update gelöst.

Technische Anpassungen

• Twig-Update auf 3.18.0 und 3.19.0.
• Refactoring & interne Aufräumarbeiten (Navigation, ProductSlider, CSS).
• Einführung von Hydrator-Klassen für Attributed Entities.
• Diverse Deprecations: Fine-grained Caching, DISABLE_EXTENSIONS, setTwig im Storefront-Controller, Messenger Bus, Custom Entities für Plugins.
• Verbesserungen in Migrationen, Cache-Handling und Vorbereitungen für doctrine/dbal:4.
• Konsolidierte Cache-Konstanten und neuer Header für Cache-Invalidierungen.

Neue Funktionen & Verbesserungen

• SCSS-Validator für Theme-Änderungen integriert.
• Neue Store-API-Endpunkte für Produkt- und Kategorie-Breadcrumbs.
• Elasticsearch Explain Mode hinzugefügt.
• Erweiterungspunkt für Flow Executor und PDF-Renderer integriert.
• Erweiterte Konfigurationsmöglichkeiten für attributed entities.
• Neue Twig-Blöcke für Line-Items und zusätzliche Filter-Typen für die Suche.
• Möglichkeit, versteckte Produkte aus der Sitemap auszuschließen.
• Anpassbare Reihenfolge von Stadt- und Postleitzahlfeldern im Checkout.
• Verbesserungen bei Lade- und Performance-Verhalten in der Administration.
• Umfangreiche Accessibility-Optimierungen: bessere Fokusführung, sichtbare Labels, optimierte Kontraste.

Fehlerbehebungen

• Korrekte Verarbeitung von Lieferadressen im Bestellprozess.
• Cross-Selling-Streams laden nicht mehr das eigene Produkt.
• Fehler bei Mehrwertsteuer- und VAT-ID-Validierung behoben.
• Probleme im Flow Builder und bei Promotions korrigiert.
• Fehler in der Verwaltung von Custom Fields und im Bulk Edit gelöst.
• Bildhöhen im Gallery-Slider und Zoom-Modal korrigiert.
• Session-Handling und Imitation-User verbessert.
• Snippets wieder editierbar.
• Elasticsearch-Indexing und Stopword-Verhalten stabilisiert.
• Fehler beim Bestellprozess ohne Positionen oder bei Promotions behoben.
• Storefront-Korrekturen: Hero-Bilder, Cart-Duplikate, Quantity-Inputs, Mini-Cart-Überschrift.
• Hot Reload verbessert, Cookies und Redirects korrigiert.

Technische Anpassungen

• Wechsel des Hash-Algorithmus auf xxh128.
• Entfernen doppelter URL-Parameter im HTTP-Cache.
• Vereinheitlichung von Config Files und Stores.
• Vorbereitung auf native PHP Typed Properties.
• Optimierung des MessageQueue Restrict Listeners.
• Verbesserungen im Symfony Scheduler Bridge und in Migration Steps.
• Einführung von Prettier im Admin-Bereich und Anpassungen im Hot Reload.

Bugfixes

• Twig Rendering Entfernung einer veralteten Methode, die zu Speicherüberläufen führen konnte.
• Redis Konfiguration Fehlerbehebung bei Nutzung des Parameters shopware.cart_redis_url, der zuvor zu Ausnahmen führen konnte.

Bugfixes

• Hot Reload Behebung eines Problems mit Cookies und Weiterleitungen, sodass Entwicklungsumgebungen wieder stabil und zuverlässig funktionieren.

Neue Features & Verbesserungen

• Adressen & Formulare Eindeutige IDs für Adressformulare, korrekte Pflichtfeld-Validierung und Fehlerbehandlung bei Formular-Submits.
• CMS & Storefront Verbesserungen bei Form-Reset, Sprachauswahl, Mobile-Slider, Layout-Filter, Display-Mode und Preview.
• SEO & Sitemap Neue Landingpage-Provider, korrekte SEO-URL-Auflösung in CMS-Inhalten, Fixes für doppelte Slashes in Sitemaps.
• Store-API Kriterien-Titel in Wunschliste, generische API-Antworten und Breadcrumb-Endpunkte.
• Performance & Stabilität Optimierungen an Caching, Redis-Config, Elasticsearch-Indexierung und Hot Reload (inkl. HTTPS/TLS Proxy).
• Administration Neue Wrapper-Blocks, überarbeitete UI/UX (Button-Gruppen, Input-Styles, Colorpicker, Imitieren von Kunden), Pinia-Migration und Prettier-Integration.
• Sicherheit CSP-Header mit frame-ancestors, Validierungs-Verbesserungen (VAT-ID, Promotions, Reviews), Blockierung von Newsletter-Opt-in über HEAD-Requests.

Bugfixes

• Fehler beim Anlegen von Kunden via Admin-API trotz Validierungsfehlern behoben.
• Abgebrochene Bestellungen sind im Storefront nicht mehr editierbar.
• Korrekte Anzeige ausgewählter Kunden im Bestellpopup.
• Promotions & Rabatte in Bestellungen korrigiert.
• Diverse Fixes bei Warenkorb-Rabatten, Formularvalidierungen, Breadcrumbs, Varianten-Tab, Indexierungen und Snippets.

Entwickler-Änderungen

• Einführung von WriteBatchInterface und neuen Events.
• Umstellung auf xxh128-Hash-Algorithmus.
• Bereinigung obsoleter Methoden & Flags.
• Erweiterte Konfigurations- und Testmöglichkeiten (z. B. cache:clear:all, Directory Code Coverage).
• Verbesserte Fehlermeldungen & Typisierung (PromotionGateway, Defaults, Criteria).

Bugfixes

• WriteCommandQueue Fehlerhafte Ausführungsreihenfolge der WriteCommandQueue-Befehle wurde behoben.

Neue Features & Verbesserungen

• Store API Neue Endpunkte für Produkt- und Kategorie-Breadcrumbs.
• Import/Export Einführung einer neuen Batch-Importstrategie.
• App-System Neues App-Filesystem zur besseren Abstraktion.
• Elasticsearch Optimierte Produktindexierung für bessere Performance.
• Sitemap Korrekte Domain für Sitemap-Standorte.
• System Checks JSON-Output für system:check-Command verfügbar.
• Smart Bar Umschaltmöglichkeit im Admin hinzugefügt.
• Design & UX Verbesserte Text- und Editorformatierung im Storefront.
• Accessibility Fokus-Handling im Checkout und Off-Canvas-Warenkorb verbessert; visuelle Fokuszustände ergänzt; Slider-Plugin optimiert.
• Produktvarianten Neue Option, nur Varianten hinzuzufügen.

Bugfixes

Bugfixes · Checkout & Bestellungen

• Fehlerhafte Rabatt- und Steuerberechnung bei Versandkosten korrigiert.
• Promotions mit Regeln und Mengenbedingungen funktionieren wieder korrekt.
• Sprache, Rechnungsadresse und Steuerlogik beim Bulk-Invoice behoben.
• Doppelte State-Änderungen bei SEPA-Lastschrift entfernt.

Bugfixes · Medienverwaltung

• Fehler beim Umbenennen von Dateien mit Remote-Thumbnails behoben.
• Sortierung von Produktmedien vereinfacht.

Bugfixes · CMS & Erlebniswelten

• Fix für Ladeprobleme mit Demo-Entities.
• Bessere Performance bei Layouts mit vielen Elementen.
• Block-Duplikate im Twig entfernt.

Bugfixes · Administration

• Fehler beim Entsperren/Abbrechen von Newsletter-Opt-Ins korrigiert.
• Verbesserte Performance bei Order-Statistiken und Admin-Suche.
• ACL-Regeln und Kriterien-Events für Länder und Bundesländer ergänzt.

Technische Änderungen & Deprecations

• Hashing Umstellung von md5 auf xxh128 für mehr Sicherheit und Performance.
• Twig Update auf Version 3.14.0.
• ESLint Neue Regeln hinzugefügt.
• Systemkonfiguration Legacy-Format im system:config:get-Command deprecated.
• Autoprefixer Offiziell als veraltet markiert.
• Address Cards Template address-card deprecated.

Bugfixes & Optimierungen

• Produkt-Slider Korrektur von unerwünschten Slides beim Klicken auf Slider-Elemente.
• Base-Slider-Plugin Fehler im _initAccessibilityTweaks behoben, bessere Stabilität und Barrierefreiheit.
• Warenkorb-Berechnung Optimierte Daten-Hash-Berechnung für korrekte Preis-Kalkulation.
• Cache Korrektur bei der Cache-Namensvergabe für sauberes Caching.
• Bestellungen Fehler bei doppeltem save-edits-Methodenaufruf beim Speichern einer Bestellung behoben.

Neue Features & Verbesserungen

• Storefront Pagination Über Ankerlinks → barrierefreieres & SEO-freundlicheres Blättern.
• Affiliate- & Kampagnen-Codes Direkt im Admin editierbar.
• Kunden-Imitation Für Testszenarien und Supportfälle.
• Flow Builder Neuer Trigger „Customer before delete“.
• System-Healthchecks Einführung zur besseren Überwachung von Integrität & Stabilität.
• ElasticSearch Begrenzung der Textlänge für Indizierung + bessere Fehlerbehandlung.
• Composer Composer-Name im Plugin-List-Befehl ergänzt.

Neue Features & Verbesserungen · Core & Technik

• Verbesserte Context-Objekte, Aggregations-Validierung und Silent-Token-Validierung.
• Caching optimiert durch verbesserte Cache-Tags.
• Deutlich bessere Admin-Performance bei Layouts mit vielen Elementen.
• Message Queue mit Größenlimit für stabilere Verarbeitung.
• App-Lifecycle: Upsert für Custom Fields und erweiterte Validierungen.
• PHPStan-Regeln für ACL-Namen und Exceptions hinzugefügt.

Neue Features & Verbesserungen · Medien & CMS

• 3D Viewer Neue Einstellmöglichkeit für Lichtintensität.
• Dynamische URLs können jetzt mit Medien verknüpft werden.
• Verbesserte Thumbnail-Generierung, inkl. Fixes im Strict Mode.
• CMS- & Produkt-Slider: Korrekturen bei Variantendarstellung und Barrierefreiheit.
• Neue Twig- & Wrapper-Komponenten (sw-popover, sw-tabs, sw-select-field, sw-textarea-field, u. a.).
• Signierte statische iFrame-Module für mehr Sicherheit.

Neue Features & Verbesserungen · Kunden, Bestellungen & Checkout

• Kunden-Gruppen in SEO-URLs korrekt dargestellt.
• Fixes bei Versandadressen und Kundenanlage (Salutation-Fehler, Register-Route).
• Promotions: Fixes für Regeln, Max-Nutzung pro Kunde und Anwendbarkeit.
• Neue Filter für Kunden- und Bestellnummern in Admin-Listen.
• Order-Line-Items: promotionId nun über AdminAPI beschreibbar.
• Vor-Kalkulation von Warenkörben verbessert; Cart wird nicht mehr bei jeder Anfrage gespeichert.

Neue Features & Verbesserungen · Barrierefreiheit (Accessibility)

• Verbesserte Fokussteuerung bei Modals, Offcanvas und Formularen.
• Storefront-Filter für Screenreader optimiert.
• Neue sichtbare Fokuszustände für Buttons (Wishlist, Scroll-up, Slider etc.).
• Formular-Elemente: Labeling & Fehlermeldungen verbessert.

Fehlerbehebungen

• Produkt-Slider zeigt wieder Produkte aus dynamischen Gruppen.
• Adressverwaltung im Checkout stabilisiert.
• Preisvalidierung in Custom Fields korrigiert.
• TCPDF-Konstante Fehler durch Opcache behoben.
• Admin Grid: Spaltenanordnung und Icons gefixt.

Core & Technik

• Verbesserungen am Context-Objekt für stabilere Datenverarbeitung.
• Validierung von Aggregationsnamen optimiert, um Fehler bei komplexen Abfragen zu vermeiden.
• Silent-Token-Validierung für Feature-Flags verbessert.

Zahlungen & Versand

• Fehlerbehebung bei Filterungen über dekorierte Payment- und Versandmethoden-Routen.

Medien

• Anpassung der Typehints im MediaUrlPlaceholderHandler für bessere Konsistenz.

Produkte & Varianten

• Varianten-Generierung Neue Option, ob beim Anlegen Varianten generiert oder nur hinzugefügt werden sollen.
• Produktsuche Verbesserte Scoring-Logik für exakte Treffer; Suche per Produktnummer mit direkter Weiterleitung zur Detailseite.
• Bulk-Edit Fehler behoben, wenn >25 Produkte gleichzeitig bearbeitet wurden.

Bestellungen & Dokumente

• Filteroptionen Bestell- und Kundennummer in Admin-Listen filterbar.
• Rechnungen & Stornos Stornosummen werden korrekt negativ ausgewiesen.
• Sprachzuweisung Manuell erstellte Bestellungen speichern die gewählte Sprache zuverlässig.
• Intra-Community-Lieferungen Neuer Hinweis in steuerrelevanten Dokumenten.
• Promotions Automatisch angewandte Promotions bleiben nach Speichern der Bestellung erhalten.

Zahlungen & Checkout

• Verbesserungen bei Payment-Handlern und im Zahlungsprozess.
• App-Payment Timeout auf 20 Sekunden erhöht.
• Neue Parameter in Checkout-Fehlerübersetzungen.

Kunden & Administration

• Customer Impersonation Admins können sich als Kunde einloggen.
• Verbesserte Login-Sitzungen im Admin.
• ACL- und Sales-Channel-Checks im Kundenmodul korrigiert.
• Standard-Zahlungsmethode für Kunden entfernt.

CMS & Erlebniswelten

• Link-Selector Media-Option hinzugefügt.
• Öffnen der Shopping-Experience-Sektionseinstellungen direkt via Kontextmenü.
• Korrekturen beim CMS-Daten-Mapping für verschachtelte Übersetzungen.
• Zusätzliche Twig-Blöcke in CMS- und Order-Templates.

Suche & SEO

• MySQL-Suche Maximale Suchwortlänge begrenzt (Performance).
• Verbesserte SEO-Resolver-Prioritäten und Kontextprüfungen.
• Fix bei SEO-Überschriften auf Produktdetailseiten.

Medien & AR

• Neue Standardwerte für Augmented-Reality-Medien.
• Verbesserungen am AR-Icon-Label und 3D-Placeholder.
• Fix für Media-URLs ohne Thumbnails.
• Dateitypen in der Medien-Suche filterbar.

Entwickler & Technik

• Flow Builder Service nach TypeScript konvertiert; neue Blöcke & Funktionen.
• APIs Endpunkte zur Auflistung aller API-Routen; zusätzliche Suchkriterien.
• Elasticsearch Besseres Handling von Sonderzeichen & Performance.
• Profiler Erweiterte Pfade für Storefront-Profiler.
• Deprecations u. a. sw-select-number-field, sw-dashboard-statistics.
• Verbesserte Composer-, Jest/Lint-Workflows und Plugin-Befehle.

Bugfixes & Verbesserungen

• Korrektur doppelter Firmenadressen.
• Fehlerbehebungen bei Kommawerten in Preisfeldern.
• Verhindert: negative Reviews-Offsets.
• Accessibility Skip-to-Content-Link; bessere Labels für Formularelemente.
• Viele kleine Fixes bei Cache-Handling, ACL, Übersetzungen und UI.

Suche & Performance

• Suchoptimierung Begrenzung der Länge von Suchbegriffen in MySQL-Suchen zur Vermeidung von Performance-Problemen und Fehlern.

Produkte & Katalog

• Dynamische Produktgruppen Custom Fields per Entity-Select einbindbar.
• Externe Dateien Einbindung auch ohne Dateiendung per URL.
• Währung & Preise Fix für defektes Währungs-Modal bei preisbasierten Einstellungen.
• Promotion-Handling Validierung von Rabatt-IDs verbessert.

Bestellungen & Kunden

• Versandkosten Nach Absenden der Bestellung wieder korrekt änderbar.
• Kundenverwaltung Adressen (inkl. Firmenname) im Admin-ES-Index berücksichtigt.
• Admin-Bestellungen Fix, wenn Standardsprache nicht im Sales Channel verfügbar ist.
• Kundensicherheit Neuer Attribut-Check im Login-Kontext.

CMS & Storefront

• CMS-Formulare leeren Daten korrekt aus Local Storage.
• Barrierefreiheit Bessere Kontraste, Slider zugänglicher, Alt-Texte im Bewertungs-Widget.
• Navigation & UI: Such-Icon und Burger-Menü besser ausgerichtet.
• Wishlist: Icon-Cache im Produktkasten deaktiviert.

Flow Builder & Automatisierung

• E-Mail: Standard-Empfänger beim Trigger „Produktbewertung“ angepasst.
• Debugging: Zusätzliche Debug-Infos in Mail-Headern im Staging-Modus.

Entwickler & Technik

• Neue Maker-Commands (CLI) für schnellere Plugin-Entwicklung.
• Migration auf Pinia statt Vuex.
• Staging-Banner zeigt Admin-URL an.
• SEO & Snippets: Fixes bei Formularvalidierung, Snippet-Handling, Migrationen.
• Systemkonfiguration: Werte auch per YAML setzbar.
• Performance: Bessere Pagination, optimierte Fehlerausgaben, Cleanup von Line Items bei Neukalkulation.

Entwickler & Technik

• Composer-Optimierung Stabilere & performantere Ausführung während des Plugin-Lifecycles (Install, Update, Deinstall).

CMS & Erlebniswelten

• Neue Wrapper für sw-tabs, sw-select-field, sw-textarea-field, sw-datepicker, sw-password-field, sw-colorpicker, sw-external-link, sw-skeleton-bar, sw-url-field, sw-progress-bar.
• CMS SDK: Fehler beim Wechsel von SDK-Elementen behoben.
• Alt-Texte & Labels für Line-Items verbessert; Mediennutzung in Slot-Konfigurationen korrekt erkannt.

Flow Builder & Automatisierung

• SendMailAction-Konstanten vereinheitlicht; Update-Event ist hookable; neue Kriterien-Events für Bestellungen.

Produkte & Bestellungen

• Checkout Gateway eingeführt; verbesserte Adressvalidierung im Cart.
• Promotions werden bei Warenkorbpreis = 0 nicht weiterverarbeitet.
• Neues Event für Variantenselektion beim Laden der Produktdetailseite.
• Suche nach Dokumentnummern auch bei vielen Dokumenten stabil.

Kommunikation & Newsletter

• SendMailAction: Sprache übergebbar.
• Newsletter: Neue OpenAPI-Schemata; Filterung per SalesChannelId; konfigurierbare Max-Länge für Mail-Bodies.

Suche & Elasticsearch

• Leistungs- & Fehlerhandling-Verbesserungen; Exceptions im ES-Stack sauber abgefangen; Debugging & Indexierung stabilisiert.

Storefront

• Feeds: Last-Modified-Header ergänzt.
• Icons & Fokus: Multicolor-Icons repariert; sichtbare Fokus-Indikatoren.
• Kundenkonto: MwSt.-Infos ergänzt; fehlende Backdrops in Checkout-Adressmodals behoben.
• Rezensions-Filter korrigiert.

Entwickler & Technik

• Redis-Hard-Dependency entfernt; stabilere Konfiguration.
• composer remove nach Kernel-Response möglich.
• OpenAPI: Neue Schemata (Dokumente, Adressen, Bestell-Routen, Line-Items, Preise) & Linting-Regeln.
• Admin: Autocomplete für Inputs; neues mt-email-field.
• Profiler: CLI unterstützt --profile.
• Performance: Verbesserungen bei Snippet-Autoren, Hydration, Fehlermeldungen.
• Entity-Regeln: Prüfungen für ungültige UUIDs, leere ID-Filter, ManyToOne-Fehler.
• Daten & Migrationen: Fehlende Transaktionen-Assoziationen; Migrationstests & SalesChannel-Fixes.

Stabilität & Sicherheit

• Bessere API-Fehlermeldungen (ManyToOne), klarere Hinweise bei falscher Nutzung, einheitliche Behandlung bei invaliden UUIDs.
• Medien: Nicht druckbare ASCII-Zeichen aus Pfaden entfernt; 3D-Scene-Editor-Entitäten integriert; User-Avatare nachgezogen.

CMS & Erlebniswelten

• Image Slider repariert (Admin-Vorschau funktioniert wieder).
• Sanitize-Warnungen in der CMS-Element-Konfiguration.
• Wrapper-Komponenten für zahlreiche UI-Elemente (z. B. sw-button, sw-card, sw-icon, sw-text-field, sw-switch-field, sw-number-field, sw-loader, sw-checkbox-field).
• Fix für fehlende Dokument-Einstellungen: Fallback bei Custom-Docs.

Flow Builder & Automatisierung

• Bessere Fehlerbehandlung bei Transition-/Flow-Ausnahmen im Bestellprozess.
• Smart Bar & Main Menu per App-Modul toggelbar.
• Konfigurierbare Verzögerung für PseudoModals.

Produkte & Bestellungen

• Preis-Sortierung im ProductDetailRoute korrigiert.
• Lange Kindartikel-Namen in Bestellungen besser dargestellt.
• OffCanvas-Cart: Versandmethoden-Umschalter als Button.
• Promotion-Codes akzeptieren Umlaute; Titel-Länge bei Bewertungen validiert.
• Verbesserungen bei Sprache & Inheritance für konsistentere Ladeprozesse.

Storefront

• Accessibility & SEO: Headings für Login-Seite ergänzt.
• Fehlende Backdrops in Checkout-Adressmodals behoben.
• GallerySlider-Plugin wird korrekt erkannt.
• Storefront-Webpack überarbeitet (Performance, Watch-Mode, Twig-Integration).
• Varnish: Ban all-Befehl korrigiert; Wunschliste: überflüssige CSS-Icons entfernt.

Entwickler & Technik

• Webpack: Unterstützung für ts & cts-Configs.
• Meteor Component Library als Admin-Abhängigkeit.
• Hydrate-Performance verbessert; Profiler-Tabellen & Icons gefixt.
• Redis: Präfixe bei Keys entfernt; Inkrementer optimiert.
• Pipeline-/Import/Export-Fixes.
• App-Integration: Feature-Flags liefern active-Status; Zahlungsstatus bei App-Payment-Handlern optional.

Kommunikation & Kunden

• Kundenkonto: Anzeige von Mehrwertsteuerinformationen.
• E-Mails & Snippets: Schnellere Snippet-Autor-Queries; Such-Fix für sehr lange Snippets; Standard-Mail-Footer korrigiert; Defaults für Header/Footer gesetzt.
• Formulare & Captchas: Validierungsfehler wieder korrekt berücksichtigt.

Sicherheit & Stabilität

• Flow-Validierungen erweitert (Sprache, Query-Ausnahmen, Bestellverarbeitung).
• Maintenance Mode: IPv6 CIDR-Unterstützung für Allow-Lists.
• SQL-Injection-Schutz: Fehlerhafte Queries sauber abgefangen.
• Blockierung von Twig-Update 3.9 zur Sicherung der Kompatibilität.

CMS & Erlebniswelten

• Neues HTML-CMS-Element; Video-Unterstützung für Produkte.
• Verbesserte Bild-/Slider-Integration; Snippet-Cache-Invalidierung.
• Pseudo-Modal-Twig-Blöcke; Sanitize-Funktion für CMS-Textfelder.
• Assigned-Pages-Spalte in CMS-Listen.

Flow Builder & Automatisierung

• Routing zur Erstellung von Flows aus Templates.
• Bessere Fehlerbehandlung bei verschachtelten Transaktionen & Dispatcher-Events.
• Neue Optionen: Recalculate-Order, Scope-Erweiterungen; Domain Exceptions breiter unterstützt.

Produkte & Bestellungen

• Neue API-Route zur Aktualisierung von Bestelladressen.
• Individuelle Promotions: Verbesserte Dubletten-Erkennung & Validierung.
• Fixes bei Order-Status, Währungen, Varianten-Namen (Bulk-Edit).
• Neue Rule Condition: „Order with sent document“.
• Neue Mesh-/DRACO-Unterstützung für 3D-Dateien; schnellere PDP.

Storefront

• SEO/Sitemap-Verbesserungen (URL-Validierung, OG-Tags, Trailing Slashes, Redirect-Fixes).
• Theme: webpack.config.cjs-Support; --sync-Flag; optimierte statische Kompilierung.
• Consent Management: Google Consent V2.
• Zugänglichkeit & Usability: Login-Verbesserungen, RememberMe, barriereärmere Navigation.

Entwickler & Technik

• OpenAPI stark erweitert (Produkte, Bestellungen, SEO, Media, Wishlist u. a.).
• Admin SDK 5.0.1; Vue 3 Migration vorangetrieben.
• Neue CLI-Befehle (z. B. user:list, ludtwig composer, system:update:finish erweitert).
• Profiler & Debugging: Besseres Tracing/Logging (z. B. repository tracer).
• Symfony 7 & Composer-Upgrade.

Kommunikation & E-Mails

• Newsletter-Modul Vue 3-kompatibel.
• Verbesserte Validierung (Empfänger, Unsubscribe-Flows, Regex, Umlaute).
• Separate Dokumenttitel pro Seite.

Suche & Elasticsearch

• Präzisere Regeln (numerische Begriffe, weniger Typos).
• Optimierte ES-Integration (Cross-Selling, Indexing, Admin-Suche).

Storefront & Themes

• Theme-Cache pro Sales Channel Kanalspezifisches Caching der Themes sorgt für mehr Stabilität und verhindert Darstellungsfehler bei mehreren Verkaufskanälen.

Tracking & Sitzungen

• Affiliate-Tracking Fehler im Session-Zugriff im AffiliateTrackingListener behoben → zuverlässigere Partnerprogramme und Trackingfunktionen.

CMS & Erlebniswelten

• Nachgereichte Migration Umstellung des Sorting-Keys in CMS-Slots auf die ID, damit die Sortierreihenfolge stabil und konsistent verwaltet wird.

System & Updates

• Blue-Green-Deployments system:update:finish berücksichtigt nun blue-green-sichere destruktive Migrationen → stabilere, sichere Zero-Downtime-Deployments.

Administration & UX

• Vue 3 & SDK Neue/angepasste Admin-SDK-Blöcke (u. a. CMS-Gegenstücke, Help-Sidebar, Settings, iFrame-Full-Screen, Stoplight Elements).
• Bedienung Zurück-Button in SDK-Settings, bessere Reaktivität beim Bestellstatus, optimierte Paginierung/Listen-Templates, konsistentere Feld-Events.
• Rechte & Validierung Fixes bei Berechtigungen, E-Mail-Validierung, ISO-Checks; klarere Fehlermeldungen & Domain-Exceptions.
• Komfort Öffentliche Medienauswahl mit Pagination, Titel-Attribute/Blöcke in Listen, stabilere Ajax-Modals, viele UI-Korrekturen.

Storefront, SEO & Content

• SEO & Routing Keine SEO-URLs für Headless-Channels; Live-Updates; Sitemap-Verbesserungen (Home-Slash, Pflichtfelder, Fehlermeldungen).
• A11y & HTML5 Verbesserte Barrierefreiheit, moderne HTML5-Tags; OG-Tags auf Fehlerseiten; AVIF-Support; neue Twig-Blöcke.
• Theme & Assets Statische/atomare Kompilierung, Fixes für Remote-Scripts, CDN/Fastly, asynchrones JS, Entfernung von all.js.
• Consent & Cookies Google Consent v2, Cookie-Clear auf 404, überarbeitete Beschriftungen.

Suche & Elasticsearch

• Vererbung & Präzision Neues ES-Vererbungsmodell, präzisere numerische Suche, Suchinfos via Date-Aggregation.
• Performance Weniger Ressourcen im Listing, schnellere Variant-Listings, robustere Keyword-Cleanup-Tasks.

Flow Builder & Automatisierung

• Stabilere Flow-Speicherung, Deprecations entfernt, klarere Warn-/Fehlermeldungen, regelbewusste Flows in mehr Bereichen.

Apps, Admin-SDK & Erweiterbarkeit

• Mehr SDK-Fähigkeiten (Übersetzungen, Routing, CMS-Block-Gegenstücke, neue Hooks/Blöcke), lokale apps-Ordner, einmalige Script-Einbindung.
• Sicherheit/Stabilität: Längere Pfade, Medien-Proxy/URL-Regeln, Manifest-/Proxy-Error-Handling; Shipping-Methods via Apps nicht mehr „experimental“.

Medien & Dateien

• Service-Härtung Aufräumen von Temp-Files, zentrale Medienvalidierung (Name/ASCII/Typ/Größe), keine individuellen Fetches je Item.
• Uploads & Formate AVIF, Spatial-Upload/Zoom, nur benötigte node_modules für (App/)Plugin-Assets; Thumbnail-Kantenfälle gefixt.

Bestellungen, Kund:innen & Checkout

• Korrekte Sprachen nach Login, robuste Adress-Editor-Validierung, Rückleitungen bei Legacy-Passwörtern; richtige Währungs-/Steuerdialoge.
• Order-Handling: Keine Überschreibung „staged changes“, neue Transaktionen in Status-Historie, Storno-Dokumente referenzieren korrekte Order-Version.

Performance, Stabilität & Betrieb

• Kern-Upgrades Symfony 7, Composer/Runtime, PHPUnit 10+; Bereinigung alter Deprecations.
• Caching & HTTP ESI-Tags, vereinheitlichter HTTP-Cache, Sammel-Invalidierungen via Redis, weniger Boot-Requests.
• Indexer & Jobs Synchrone Post-Update-Indexer möglich, fehlertolerante Re-Schedules, neue Health-Check-Events.
• Fehlertransparenz Breite Domain-Exceptions, sinnvollere Log-Levels, klare Hinweise bei ungültigen Konfigurationen.

Sicherheit & Validierung

• Strengeres File-/URL-/Form-Handling, E-Mail/Newsletter-Validierungen, ReCaptcha v3-Refresh, sichere Download-Links; kein HTML-Sanitizing in Mail Header/Footer.

Breaking Changes / Deprecations (Auszug)

• Entfernte/ersetzte Storefront-Twig/JS/CSS-APIs & Flags (6.6-Cut), ES-Mehrsprachen-Flag entfernt.
• Flow-/Framework-Deprecations bereinigt; neue Default-Events in Komponenten; Legacy-Dateien in PDP/Cart entfernt.
• Neue Systemanforderungen (Node-/Build-Kette aktualisiert: Webpack 5, SWC-Minify).

Technische Anpassungen

• Update der NPM-Pakete zurückgenommen, um Kompatibilitätsprobleme zu vermeiden.

Bugfixes

• Behebung einer Redirect-Schleife (Weiterleitungsschleife), die in bestimmten Szenarien auftreten konnte.

Administration & UI

• Bessere Fehlerbehandlung bei ungültigen Manifest-Dateien und langen Medien-Dateinamen.
• CMS & Suche Neues after-Block-Element in Sucheinstellungen; Logik für Standard-Sortierungen verbessert.
• Korrekturen beim Rendern von CMS-Element-Konfigurationen im Admin SDK.
• Usability Checkbox „Remember Me“ beim Login hinzugefügt.
• Admin-Suchfehler behoben, Inhalte in durchsuchbaren Feldern optimiert.

Produkte & Varianten

• Performance-Optimierung beim Laden von Produkt- und Variantenlisten.
• Fix: Laden der Standardwährung bei Bulk-Bearbeitung.
• Fehlerbehebung bei Cross-Selling-Sortierungen mit Elasticsearch.
• Ressourcenverbrauch bei großen Produktlisten reduziert.

Flow Builder, Regeln & Zustände

• Fix: Customer Custom Field Rule mit Mehrfachauswahl.
• Bessere Privilegien im State Machine Handling.
• Neue Domain Exceptions für Snippets & Symfony Messenger-Fehler.

Medien & Uploads

• Unterstützung für räumliche Objekte als Medien.
• Uploadgrößen-Logik überarbeitet.
• Indexer nach MediaPath-Updates automatisch getriggert.

Technik & Performance

• Update auf Symfony 6.4.
• Bessere Performance beim Webpack-Build.
• Entfernung von all.js, asynchrones JS.
• Neues Admin Request Tracing.
• Optimierung der Preis-Serialisierung.
• Update von dompdf/dompdf auf 2.0.4.
• Fixes bei PHP-Typehints, OpenAPI und Spalte address_format.

Sonstiges

• Consent-Banner: Button „Deny“ → „Nur technisch erforderliche“.
• Regex für belgische USt-IdNr. aktualisiert.
• Konsistente Parameter-Konvertierung in Databags.
• Bessere Unterstützung für Sonderzeichen in Dateinamen.
• Neuer abstrakter Steuer-Detektor.
• Erweiterte Doku zur Sitemap-Aktualisierung.

Technik & Datenbank

• Anpassung des Spaltentyps address_format für mehr Konsistenz & Stabilität.

Technik & Framework

• Nachgereichtes Feature-Flag inject ergänzt und korrekt verfügbar gemacht.

Technik & Wartung

• Bereinigung der Service-Konfiguration: Testklassen aus services.xml entfernt.

CMS & Storefront

• Neue Async Theme Compilation Option für bessere Performance bei größeren Projekten.
• Fixes bei CMS-Elementen (Mehrfachinstanzen von SDK-Elementen, Layout-Modal, Filter in dynamischen Produktlisten).
• Verbesserte Darstellung in der Order History (fehlendes div geschlossen, Twig-Blöcke ergänzt).
• Neue Sparkles-Icons und Twig-Blöcke für flexiblere Templates.
• Consent-Banner für Nutzungsdatenerfassung hinzugefügt.
• Korrektur beim Cookie-Banner-Styling („Alle akzeptieren“-Button).
• SEO-URLs: Validierung & bessere Fehlermeldungen; Fix für Kategorie-SEO-URLs.
• Übersetzungs-/Snippet-Fixes (Wishlist-Button, Adress-Formate, Case-Änderungen bei Produkteigenschaften).

Flow Builder & Automatisierung

• Fixes bei Flow-Ausführungen in Transaktionen und beim Cachen nach Bestellprozessen.
• Neues Event: Remove from cart.
• Verbesserte Fehlerprotokollierung für Promotion-, Warenkorb- und Dokument-Exceptions.

Produkte & Bestellungen

• Vue 3-Kompatibilität: Order-, Category- und Customer-Module aktualisiert.
• Performance-Boost bei Dokumentenerstellung (Rechnungen).
• Neue technische Namen für Zahlungs- & Versandmethoden.
• Fixes für fehlerhafte Zahlungsarten/Preisfelder im Admin.
• Soft Deletes für Custom Entities eingeführt.
• Verbesserungen bei Cross-Selling (Sortierung nach Preis) und Varianten-Logik.
• Fix für Edge Case: Bestellungen verschwanden beim Abbrechen einer Admin-Bearbeitung.

Suche & Elasticsearch

• Verbesserte Debugging-Tools und Logs.
• Präzisere Ergebnisse bei numerischen Suchanfragen.
• Neues Date Aggregation Feature für Produktindex-Infos.
• Stabilere große Keyword-Dictionaries und Token-Filter.

Technik & Infrastruktur

• HTTP-Cache für Routen integriert.
• Redis Cache Clearing & Predis-Support verbessert; Cluster/Redis-Handling optimiert.
• Erweiterte CLI (Scheduled Task Helpers); system:update:finish mit Abschlussmeldung.
• Webpack & Admin-Builds optimiert (Flex-Templates, Watch, Dev-Server).
• Neue low_priority Queue.
• Admin SDK aktualisiert; zusätzliche Vue 3 Jest-Tests.
• Fixes für MariaDB, Zipcode-Spalten, Foreign Keys.

Sicherheit & Validierung

• Einschränkungen für Snippet-Sanitizing (nur erlaubte Attribute wie data-url).
• Upload-Validierungen (Dateiname ASCII, Mime-Type-Prüfung).
• Domain-Exceptions in Customer, Media, Elasticsearch, Orders.
• Gast-Account-Login-Seite nicht mehr direkt aufrufbar.