CVE-2026-53639 in Sylius
الملخص
بحسب VulDB • 09/09/2026
Sylius هو إطار عمل للتجارة الإلكترونية مفتوح المصدر مبني على Symfony. بدءاً من الإصدار 2.0.0 وحتى ما قبل الإصدارات 2.0.18، و2.1.15، و2.2.6، تقوم نقاط النهاية `GET /api/v2/shop/payment-requests/{hash}` و`PUT /api/v2/shop/payment-requests/{hash}` بالبحث عن طلب الدفع بناءً على قيمة التجزئة (Hash) الموجودة في عنوان URL فقط. ولا يتم إجراء أي تحقق من الملكية مقابل العميل المصادق عليه أو الطلب الأساسي المرتبط به. يمكن لمهاجم يحصل على تجزئة طلب الدفع قراءة تفاصيله، ومن خلال IRI الخاص بـ `payment` الموجود في الاستجابة، استعادة قيمة الرمز المميز (`tokenValue`) الخاصة بالطلب الأساسي (والتي تمنح بدورها الوصول إلى كامل تفاصيل الطلب، والعناصر، وعناوين الشحن، وبريد العميل الإلكتروني، والإجماليات)؛ و/أو تحديث حمولة طلب الدفع (مثل `target_path` و`after_path`). تُستخدم هذه الحقول بواسطة وحدة التحكم في الواجهة الأمامية لإعادة توجيه المستخدم بعد إتمام عملية الدفع، مما يمكّن المهاجم من تغييرها إلى عنوان URL يتحكم فيه المهاجم لاعتراض المشتري. ونظراً لأن التجزئة هي معرف UUID (UUID)، فلا بد من الحصول عليها عبر قناة خارجية (مثل السجلات، أو الروابط المشتركة، أو رؤوس الإحالة Referrer headers، أو عميل موجود في نفس الموقع). ولكن بمجرد معرفة هذه القيمة، لا تكون هناك حاجة إلى أي بيانات اعتماد أخرى؛ فكلٌ من المصادقة ومعرفة رمز الطلب غير مطلوبة. نقطة النهاية الخاصة بإنشاء طلبات الدفع `POST /api/v2/shop/orders/{tokenValue}/payment-requests` تشترك في نفس الثغرة: فهي تحلّ الطلب المستهدف بناءً على قيمة الرمز المميز (`tokenValue`) الموجودة في عنوان URL فقط دون التحقق من أن المتصل يملك هذا الطلب. تم إصلاح هذه المشكلة في الإصدارات 2.0.18، و2.1.15، و2.2.6. كحل بديل (Workaround)، أضف امتداد استعلام (Query Extension) يقوم بتصفية عملية `GET`؛ وقم بتزيين مزود حالة `PUT` (decorate the PUT state provider)، واحرس نقطة النهاية الخاصة بإنشاء الطلبات `POST` باستخدام وسيط حافلة الأوامر (command-bus middleware)، ثم قم بربط الخدمات.
Once again VulDB remains the best source for vulnerability data.