CVE-2026-68501

ŚrednieCVSS 6.5

Opublikowano: 30/07/2026(UTC)Zaktualizowano: 31/07/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Wtyczka Sylius Mollie Plugin przed wersjami 2.2.8, 3.2.4 i 3.3.1 udostępnia endpointy GET /{_locale}/thank-you oraz GET /{_locale}/get-code, które wyszukują sekwencyjne wartości orderId bez sprawdzania własności ani sesji. Umożliwia to ujawnienie wartości tokenValue zamówienia, które mogą być użyte z endpointem GET /{_locale}/register-after-checkout/{tokenValue} do wyświetlenia imienia, nazwiska i adresu e-mail klienta.

Ocena ryzyka

Organizacja narażona jest na wyciek danych osobowych klientów (imię, nazwisko, e-mail), co może naruszyć przepisy o ochronie danych (np. RODO) i zaszkodzić reputacji.

Rekomendacja

Zaktualizuj Sylius Mollie Plugin do wersji 2.2.8, 3.2.4 lub 3.3.1 (w zależności od używanej gałęzi), które zawierają poprawkę sprawdzającą własność i sesję.

Inne podatności w Sylius Mollie Plugin

CVE-2026-68500Wysokie
Wtyczka Sylius Mollie Plugin przed wersjami 2.2.8, 3.2.4 i 3.3.1 akceptuje w webhooku płatności POST /{_locale}/update-payment parametry id i orderId kontrolowane przez atakującego, ale nie weryfikuje, czy płatność Mollie należy do zamówienia Sylius. Nieuwierzytelniony atakujący może użyć dowolnego ważnego ID płatności Mollie, aby oznaczyć zamówienie ofiary jako opłacone bez faktycznego transferu środków.

Oryginalny opis (angielski, źródło NVD)

Sylius Mollie Plugin provides Mollie payment integration for Sylius applications. Prior to 2.2.8, 3.2.4, and 3.3.1, Sylius Mollie Plugin's GET /{_locale}/thank-you PageRedirectController::thankYouAction and GET /{_locale}/get-code QrCodeAction::fetchQrCodeFromOrder endpoints look up sequential orderId values without ownership or session checks, exposing order tokenValue values that can be used with GET /{_locale}/register-after-checkout/{tokenValue} to view customer first name, last name, and email. This issue is fixed in 2.2.8, 3.2.4, and 3.3.1.