CVE-2026-100871

Sylius do wersji 2.3.0 zawiera podatność obejścia autoryzacji, która pozwala nieuwierzytelnionym atakującym czytać nieumoderowane i odrzucone recenzje produktów, ponieważ filtr AcceptedExtension nie jest stosowany do operacji na elemencie. Atakujący mogą enumerować sekwencyjne identyfikatory na GET /api/v2/shop/product-reviews/{id}, aby uzyskać tytuły recenzji, oceny, komentarze, znaczniki czasu i imiona autorów, omijając moderację sprzedawcy.

Sylius przed wersjami 2.1.16 i 2.2.9 nie waliduje kwot płatności podczas przeliczania koszyka, co pozwala nieuwierzytelnionym atakującym zmodyfikować sumę zamówienia po inicjacji transakcji bramki płatniczej. Atakujący mogą zapłacić małą kwotę, powiększyć zamówienie po przechwyceniu przez bramkę, a system oznaczy zawyżone zamówienie jako w pełni opłacone, podczas gdy bramka przechwyciła tylko pierwotną kwotę.

Sylius przed wersjami 1.12.25, 1.13.17, 1.14.20, 2.1.16 i 2.2.9 buduje linki do resetowania hasła administratora używając nagłówka Host żądania bez walidacji, co pozwala nieuwierzytelnionym atakującym przekierować tokeny resetowania na domeny kontrolowane przez atakującego. Atakujący mogą żądać resetów haseł dla znanych adresów e-mail administratorów z sfałszowanymi nagłówkami Host, aby przechwycić ważne tokeny i przejąć konta administratorów.

Wersje Sylius przed 2.1.16 i 2.2.9 nie ograniczają akcji żądań płatności w punkcie końcowym Shop API, umożliwiając klientom wywoływanie zwrotów dla zakończonych zamówień. Atakujący posiadający tokeny zamówień mogą wysyłać dowolne akcje płatności, takie jak zwroty, które bramki płatności wykonują, podczas gdy Sylius nadal traktuje zamówienie jako opłacone.

Sylius, framework e-commerce oparty na Symfony, zawiera podatność w wersjach od 2.0.0 do 2.0.17, 2.1.14 i 2.2.5. Punkty końcowe API GET i PUT dla płatności nie weryfikują własności zasobu na podstawie hasha, co pozwala atakującemu na odczyt danych płatności i zamówienia oraz modyfikację pól przekierowań. Podobny problem dotyczy tworzenia płatności, gdzie nie sprawdza się właściciela zamówienia.

Sylius, framework e-commerce oparty na Symfony, zawiera podatność polegającą na obejściu autoryzacji w API konta sklepu. Endpoint PATCH /api/v2/shop/account/orders/{tokenValue}/payments/{paymentId} nie sprawdza, czy wybrana metoda płatności jest włączona dla kanału zamówienia, co pozwala uwierzytelnionemu klientowi przypisać dowolną globalnie włączoną metodę płatności do swojego zamówienia, w tym metody wykluczone przez operatora sklepu.

Sylius, framework e-commerce oparty na Symfony, zawiera podatność polegającą na niewłaściwym egzekwowaniu przepływu pracy w komponencie koszyka FormComponent. Gdy zamówienie jest finalizowane, a strona koszyka pozostaje otwarta, nieaktualny LiveComponent nie wykrywa zmiany stanu zamówienia i nadal pozwala na akcje koszyka, umożliwiając uwierzytelnionemu klientowi modyfikację lub trwałe usunięcie już sfinalizowanego zamówienia.