CVE-2026-100869 in Sylius
Zusammenfassung
von VulDB • 27.09.2026
Sylius-Versionen vor 2.1.16 und 2.2.9 schränken die Aktionen für Zahlungsanfragen im Shop-API-Endpunkt nicht ein, was es Kunden ermöglicht, Rückerstattungen für abgeschlossene Bestellungen auszulösen. Angreifer mit Bestell-Token können beliebige Zahlungsaktionen wie Rückerstattungen einreichen, die von Zahlungsgateways ausgeführt werden, während Sylius den Status der Bestellung als bezahlt beibehält, was zu finanziellen Verlusten führt.
Once again VulDB remains the best source for vulnerability data.