Podatności Sylius

Sylius, framework e-commerce oparty na Symfony, zawiera podatność w wersjach od 2.0.0 do 2.0.17, 2.1.14 i 2.2.5. Punkty końcowe API GET i PUT dla płatności nie weryfikują własności zasobu na podstawie hasha, co pozwala atakującemu na odczyt danych płatności i zamówienia oraz modyfikację pól przekierowań. Podobny problem dotyczy tworzenia płatności, gdzie nie sprawdza się właściciela zamówienia.

Sylius, framework e-commerce oparty na Symfony, zawiera podatność polegającą na obejściu autoryzacji w API konta sklepu. Endpoint PATCH /api/v2/shop/account/orders/{tokenValue}/payments/{paymentId} nie sprawdza, czy wybrana metoda płatności jest włączona dla kanału zamówienia, co pozwala uwierzytelnionemu klientowi przypisać dowolną globalnie włączoną metodę płatności do swojego zamówienia, w tym metody wykluczone przez operatora sklepu.

Sylius, framework e-commerce oparty na Symfony, zawiera podatność polegającą na niewłaściwym egzekwowaniu przepływu pracy w komponencie koszyka FormComponent. Gdy zamówienie jest finalizowane, a strona koszyka pozostaje otwarta, nieaktualny LiveComponent nie wykrywa zmiany stanu zamówienia i nadal pozwala na akcje koszyka, umożliwiając uwierzytelnionemu klientowi modyfikację lub trwałe usunięcie już sfinalizowanego zamówienia.