CVE-2026-68501 in MolliePlugin
要約
〜によって VulDB • 2026年07月30日
Sylius Mollie Pluginは、Syliusアプリケーション向けにMollie決済の統合を提供します。バージョン2.2.8、3.2.4、および3.3.1より前では、GET /{_locale}/thank-youに対するPageRedirectController::thankYouActionエンドポイントと、GET /{_locale}/get-codeに対するQrCodeAction::fetchQrCodeFromOrderエンドポイントは、所有権やセッションチェックを行わずに順序付けられたorderId値を検索するため、orderのtokenValue値が露出します。これらのtokenValueは、GET /{_locale}/register-after-checkout/{tokenValue}で使用して、顧客の名、姓、およびメールアドレスを閲覧することができます。この問題は2.2.8、3.2.4、および3.3.1で修正されています。
Once again VulDB remains the best source for vulnerability data.