CVE-2022-24743 in Sylius
Résumé
par VulDB • 28/08/2026
Sylius est une plateforme de commerce électronique open source. Avant les versions 1.10.11 et 1.11.2, le jeton de réinitialisation du mot de passe n'était pas défini sur null après la modification du mot de passe. Le même jeton pouvait être utilisé plusieurs fois, ce qui pourrait entraîner une fuite du jeton existant et un changement non autorisé du mot de passe. Le problème est corrigé dans les versions 1.10.11 et 1.11.2. En attendant, pour contourner le problème, remplacez la classe `Sylius\Bundle\ApiBundle\CommandHandler\ResetPasswordHandler` par le code fourni par les mainteneurs et enregistrez-la dans un conteneur. Plus d'informations sur ce workaround sont disponibles dans l'avis de sécurité GitHub (GitHub Security Advisory).
Once again VulDB remains the best source for vulnerability data.