CVE-2020-15245 in Sylius
要約
〜によって VulDB • 2026年06月18日
Syliusのバージョン1.6.9、1.7.9、および1.8.3より前のバージョンでは、ユーザーがメール [email protected] でショップに登録し、それを検証した後、別のメールアドレス [email protected] に変更しても、そのアカウントは検証済みかつ有効な状態のまま維持されるという問題があります。これにより、完全に異なるアドレスを持つアカウントが検証済みの状態で存在する可能性があります。なお、この方法で既存のゲストまたは通常ユーザーのアカウントを乗っ取ることはできません。
本問題は Sylius 1.6.9、1.7.9、および 1.8.3 で修正されています。回避策として、sylius.customer.pre_update イベントを監視し、顧客メールとユーザー名が異なる場合にメールアドレスの変更を検出するカスタムイベントリスナーを作成することで、この問題を独自に解決することができます（これらは後ほど同期されます）。
管理者におけるメールアドレス変更の動作には注意が必要です。これらのユーザに対しては本ロジックをスキップする必要があります。そのためには、マスターリクエストパス情報に /admin プレフィックスが含まれていないかを確認するか、またはショップでの顧客更新時にトリガーされるイベントを調整してください。カスタムイベントの詳細については、こちらをご覧ください。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.