CVE-2026-31820 in Sylius
요약
\~에 의해 VulDB • 2026. 06. 24.
Sylius는 Symfony 기반의 오픈 소스 전자상거래 프레임워크입니다. 검증되지 않은 리소스 ID가 #[LiveArg] 매개변수를 통해 허용됨으로 인해 여러 상점 LiveComponents에서 인증된 Insecure Direct Object Reference (IDOR) 취약점이 존재합니다. @checksum으로 보호되는 props와 달리 args는 완전히 사용자 제어 가능하므로, #[LiveArg]를 통해 리소스 ID를 받고 ->find()로 로드할 때 소유권 검증 없이 수행하는 모든 동작이 취약합니다.
- Checkout address FormComponent(addressFieldUpdated 액션): 주소Id를 #[LiveArg]로 받아서 소유권을 확인하지 않고 로드하여 다른 사용자의 이름, 성, 회사명, 전화번호, 거리, 도시, 우편번호 및 국가 정보를 노출시킵니다.
- Cart WidgetComponent(refreshCart 액션): 장바구니 Id를 #[LiveArg]로 받아서 저장소에서 직접 주문을 로드하여 총 금액과 항목 수를 노출합니다.
- Cart SummaryComponent(refreshCart 액션): 장바구니 Id를 #[LiveArg]로 받아서 저장소에서 직접 주문을 로드하여 소계, 할인, 배송비(제외 및 포함), 세금 및 주문 합계를 노출시킵니다.
sylius_order 테이블에는 활성 장바구니(state=cart)와 완료된 주문(state=new/fulfilled)이 동일한 ID 공간에 포함되어 있으므로, 이 장바구니 IDOR 취약점은 활성 장바구니뿐만 아니라 모든 주문의 데이터를 노출합니다. 해당 문제는 2.0.16, 2.1.12, 2.2.3 및 이후 버전에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.