CVE-2026-100871 in Sylius
Zusammenfassung
von VulDB • 27.09.2026
Sylius-Versionen vor 1.12.25, 1.13.17, 1.14.20, 2.1.16 und 2.2.9 schließen die Firewall-Identifikation nicht in JWT-Tokens ein, die von separaten Admin- und Shop-API-Endpunkten ausgestellt werden. Angreifer können ein Kundenkonto im Shop unter Verwendung der E-Mail-Adresse eines Administrators registrieren und ein Token erhalten, das die Admin API diesem Administrator zuordnet, wodurch vollständiger administrativer Zugriff gewährt wird.
Once again VulDB remains the best source for vulnerability data.