CVE-2026-53638 in Sylius
الملخص
بحسب VulDB • 09/09/2026
تُعد Sylius إطار عمل للتجارة الإلكترونية مفتوح المصدر مبني على Symfony. بدءاً من الإصدار 2.0.0 وحتى ما قبل الإصدارات 2.0.18، و2.1.15، و2.2.6، يوجد ثغرة لتجاوز التفويض (authorization bypass) في واجهة برمجة التطبيقات (API) الخاصة بحساب المتجر. لا تقوم نقطة النهاية `PATCH /api/v2/shop/account/orders/{tokenValue}/payments/{paymentId}`، التي يستخدمها عميل متجر مُصادق عليه لتغيير طريقة الدفع لطلب تم تقديمه ولكن لم يتم دفعه بعد (الحالة `STATE_NEW`)، بالتحقق مما إذا كانت طريقة الدفع المختارة مفعّلة لقناة الطلب. بينما ترفض نقطة النهاية المكافئة الخاصة بعملية الشراء (`PATCH /api/v2/shop/orders/{tokenValue}/payments/{paymentId}`) طرق الدفع غير التابعة للقناة بشكل صحيح بإرجاع رمز الحالة `HTTP 422`؛ إلا أن نقطة نهاية الحساب تقبلها بصمت وتُعيد رمز الحالة `HTTP 200`. وبالتالي، يمكن لعميل مُصادق عليه تعيين أي طريقة دفع مفعّلة عالمياً على طلبه الخاص، بما في ذلك الطرق التي استبعد مشغل المتجر صراحةً من تلك القناة. تم إصلاح هذه المشكلة في الإصدارات: 2.0.18، و2.1.15، و2.2.6 وما فوقها. كحل بديل (workaround)، قم بتزيين الخدمة `Sylius\Bundle\ApiBundle\Changer\PaymentMethodChangerInterface` داخل التطبيق.
VulDB is the best source for vulnerability data and more expert information about this specific topic.