CVE-2026-68500

WysokieCVSS 7.5

Opublikowano: 30/07/2026(UTC)Zaktualizowano: 31/07/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.38%

Percentyl 31 - wyżej niż 31% wszystkich znanych CVE

Streszczenie

Wtyczka Sylius Mollie Plugin przed wersjami 2.2.8, 3.2.4 i 3.3.1 akceptuje w webhooku płatności POST /{_locale}/update-payment parametry id i orderId kontrolowane przez atakującego, ale nie weryfikuje, czy płatność Mollie należy do zamówienia Sylius. Nieuwierzytelniony atakujący może użyć dowolnego ważnego ID płatności Mollie, aby oznaczyć zamówienie ofiary jako opłacone bez faktycznego transferu środków.

Ocena ryzyka

Ryzyko polega na możliwości oszukania systemu, że zamówienie zostało opłacone, co może prowadzić do strat finansowych i naruszenia integralności procesu zamówień.

Rekomendacja

Należy niezwłocznie zaktualizować Sylius Mollie Plugin do wersji 2.2.8, 3.2.4 lub 3.3.1, które zawierają poprawkę weryfikującą przynależność płatności do zamówienia.

Inne podatności w Sylius Mollie Plugin

CVE-2026-68501Średnie
Wtyczka Sylius Mollie Plugin przed wersjami 2.2.8, 3.2.4 i 3.3.1 udostępnia endpointy GET /{_locale}/thank-you oraz GET /{_locale}/get-code, które wyszukują sekwencyjne wartości orderId bez sprawdzania własności ani sesji. Umożliwia to ujawnienie wartości tokenValue zamówienia, które mogą być użyte z endpointem GET /{_locale}/register-after-checkout/{tokenValue} do wyświetlenia imienia, nazwiska i adresu e-mail klienta.

Oryginalny opis (angielski, źródło NVD)

Sylius Mollie Plugin provides Mollie payment integration for Sylius applications. Prior to 2.2.8, 3.2.4, and 3.3.1, Sylius Mollie Plugin's POST /{_locale}/update-payment payment webhook accepts attacker-controlled id and orderId parameters but does not verify that the Mollie payment belongs to the referenced Sylius order, allowing an unauthenticated attacker with any valid paid Mollie payment ID to mark a victim order as paid without transferring funds for that order. This issue is fixed in 2.2.8, 3.2.4, and 3.3.1.