CVE-2026-108724

Sylius przed wersjami 2.1.16 i 2.2.9 nie waliduje kwot płatności podczas przeliczania koszyka, co pozwala nieuwierzytelnionym atakującym zmodyfikować sumę zamówienia po inicjacji transakcji bramki płatniczej. Atakujący mogą zapłacić małą kwotę, powiększyć zamówienie po przechwyceniu przez bramkę, a system oznaczy zawyżone zamówienie jako w pełni opłacone, podczas gdy bramka przechwyciła tylko pierwotną kwotę.

Sylius przed wersjami 1.12.25, 1.13.17, 1.14.20, 2.1.16 i 2.2.9 nie uwzględnia identyfikacji zapory w tokenach JWT wydawanych przez osobne punkty końcowe API Admin i Shop. Atakujący mogą zarejestrować konto klienta sklepu używając adresu e-mail administratora i uzyskać token, który API Admin rozpoznaje jako administratora, dając pełny dostęp administracyjny.

Sylius przed wersjami 1.12.25, 1.13.17, 1.14.20, 2.1.16 i 2.2.9 buduje linki do resetowania hasła administratora używając nagłówka Host żądania bez walidacji, co pozwala nieuwierzytelnionym atakującym przekierować tokeny resetowania na domeny kontrolowane przez atakującego. Atakujący mogą żądać resetów haseł dla znanych adresów e-mail administratorów z sfałszowanymi nagłówkami Host, aby przechwycić ważne tokeny i przejąć konta administratorów.

Wersje Sylius przed 2.1.16 i 2.2.9 nie ograniczają akcji żądań płatności w punkcie końcowym Shop API, umożliwiając klientom wywoływanie zwrotów dla zakończonych zamówień. Atakujący posiadający tokeny zamówień mogą wysyłać dowolne akcje płatności, takie jak zwroty, które bramki płatności wykonują, podczas gdy Sylius nadal traktuje zamówienie jako opłacone.

Sylius, framework e-commerce oparty na Symfony, zawiera podatność w wersjach od 2.0.0 do 2.0.17, 2.1.14 i 2.2.5. Punkty końcowe API GET i PUT dla płatności nie weryfikują własności zasobu na podstawie hasha, co pozwala atakującemu na odczyt danych płatności i zamówienia oraz modyfikację pól przekierowań. Podobny problem dotyczy tworzenia płatności, gdzie nie sprawdza się właściciela zamówienia.

Sylius, framework e-commerce oparty na Symfony, zawiera podatność polegającą na obejściu autoryzacji w API konta sklepu. Endpoint PATCH /api/v2/shop/account/orders/{tokenValue}/payments/{paymentId} nie sprawdza, czy wybrana metoda płatności jest włączona dla kanału zamówienia, co pozwala uwierzytelnionemu klientowi przypisać dowolną globalnie włączoną metodę płatności do swojego zamówienia, w tym metody wykluczone przez operatora sklepu.

Sylius, framework e-commerce oparty na Symfony, zawiera podatność polegającą na niewłaściwym egzekwowaniu przepływu pracy w komponencie koszyka FormComponent. Gdy zamówienie jest finalizowane, a strona koszyka pozostaje otwarta, nieaktualny LiveComponent nie wykrywa zmiany stanu zamówienia i nadal pozwala na akcje koszyka, umożliwiając uwierzytelnionemu klientowi modyfikację lub trwałe usunięcie już sfinalizowanego zamówienia.