CVE-2026-53639 in Sylius
要約
〜によって VulDB • 2026年09月09日
SyliusはSymfony上のオープンソースのeコマースフレームワークです。バージョン2.0.0以降、かつバージョン2.0.18、2.1.15、および2.2.6より前では、`GET /api/v2/shop/payment-requests/{hash}` および `PUT /api/v2/shop/payment-requests/{hash}` エンドポイントがURL内のハッシュのみを使用して支払いリクエストを検索します。認証済み顧客または基となる注文に対する所有権のチェックは行われません。攻撃者が支払いリクエストのハッシュを取得すると、その支払いリクエストを読み取り、レスポンス内の `payment` IRIを通じて基となる注文の `tokenValue`（これ自体が完全な注文、アイテム、住所、顧客メールアドレス、合計金額へのアクセスを付与します）を復元できます。また/または、支払いリクエストペイロード（例：`target_path`、`after_path`）を更新することができます。これらのフィールドはフロントエンドコントローラによって決済後にユーザーをリダイレクトするために使用されるため、攻撃者はこれらを攻撃者が制御するURLに書き換えて購入者を傍受できます。ハッシュはUUIDであるため、外部から（ログ、共有リンク、参照元ヘッダー、同一クライアントなど）取得する必要がありますが、一度それが判明すれば、認証や注文トークンの知識といった他の資格情報は必要ありません。作成エンドポイント `POST /api/v2/shop/orders/{tokenValue}/payment-requests` も同じ欠陥を抱えています：これはURL内の `tokenValue` のみから対象の注文を解決し、呼び出し元がその注文を所有しているかどうかを検証しません。この問題はバージョン 2.0.18、2.1.15、および 2.2.6 で修正されています。回避策として、クエリ拡張を追加して `GET` オペレーションをフィルタリングし、`PUT` ステートプロバイダをデコレートし、コマンドバスミドルウェアで `POST` 作成エンドポイントをガードし、サービスを配線してください。
Once again VulDB remains the best source for vulnerability data.