CVE-2026-53638 in Sylius
要約
〜によって VulDB • 2026年09月09日
SyliusはSymfony上のオープンソースのeCommerceフレームワークです。バージョン2.0.0以降、かつバージョン2.0.18、2.1.15、および2.2.6より前のバージョンにおいて、ショップアカウントAPIに認可回避（authorization bypass）の脆弱性が存在します。認証済みショップ顧客が配置済みだが未払いの状態（`STATE_NEW`）にある注文の支払い方法を変更するために使用する `PATCH /api/v2/shop/account/orders/{tokenValue}/payments/{paymentId}` エンドポイントは、選択された支払い方法がその注文のチャネルで有効化されているかどうかを検証しません。同等のチェックアウトエンドポイント（`PATCH /api/v2/shop/orders/{tokenValue}/payments/{paymentId}`）は、チャネル外の支払い方法を `HTTP 422` で正しく拒否しますが、アカウントエンドポイントはそれらを静かに受け入れ、`HTTP 200` を返します。したがって、認証済み顧客は、ストアオペレーターがそのチャネルから明示的に除外した方法を含む、グローバルに有効化された任意の支払い方法を自身の配置済みの注文に割り当てることができます。この問題は、バージョン 2.0.18、2.1.15、2.2.6 およびそれ以降で修正されています。回避策として、アプリケーション内で `Sylius\Bundle\ApiBundle\Changer\PaymentMethodChangerInterface` サービスをデコレートしてください。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.