CVE-2026-53638 in Sylius
Zusammenfassung
von VulDB • 09.09.2026
Sylius ist ein Open-Source-E-Commerce-Framework auf Basis von Symfony. Ab Version 2.0.0 und vor den Versionen 2.0.18, 2.1.15 und 2.2.6 besteht eine Schwachstelle zur Umgehung der Autorisierung in der Shop-Konto-API. Der Endpunkt `PATCH /api/v2/shop/account/orders/{tokenValue}/payments/{paymentId}`, der von einem authentifizierten Shop-Benutzer verwendet wird, um die Zahlungsmethode einer aufgegebenen, aber noch nicht bezahlten Bestellung (Status `STATE_NEW`) zu ändern, überprüft nicht, ob die gewählte Zahlungsmethode für den Kanal der Bestellung aktiviert ist. Der entsprechende Checkout-Endpunkt (`PATCH /api/v2/shop/orders/{tokenValue}/payments/{paymentId}`) lehnt zahlungsmethoden außerhalb des Kanals korrekt mit dem Statuscode `HTTP 422` ab; der Konto-Akzeptor akzeptiert diese jedoch stillschweigend und gibt `HTTP 200` zurück. Ein authentifizierter Benutzer kann daher jede global aktivierte Zahlungsmethode seiner eigenen aufgegebenen Bestellung zuweisen, einschließlich solcher Methoden, die vom Shop-Betreiber explizit für diesen Kanal ausgeschlossen wurden. Das Problem wurde in den Versionen 2.0.18, 2.1.15 und 2.2.6 sowie höher behoben. Als Workaround kann der Dienst `Sylius\Bundle\ApiBundle\Changer\PaymentMethodChangerInterface` im Anwendungskontext dekoriert werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.