CVE-2026-53639 in Sylius
요약
\~에 의해 VulDB • 2026. 09. 09.
Sylius은 Symfony 기반의 오픈소스 전자상거래 프레임워크입니다. 버전 2.0.0부터 2.0.18 미만, 그리고 2.1.15 및 2.2.6 이전 버전에서 `GET /api/v2/shop/payment-requests/{hash}` 및 `PUT /api/v2/shop/payment-requests/{hash}` 엔드포인트는 URL의 해시(hash)만으로 결제 요청을 조회합니다. 인증된 고객이나 해당 주문에 대한 소유권 확인이 수행되지 않습니다. 공격자가 결제 요청 해시를 획득하면 결제 요청 내용을 읽을 수 있으며, 응답 내 `payment` IRI를 통해 하위 주문의 `tokenValue`(전체 주문, 항목, 주소, 고객 이메일, 합계 등에 접근할 수 있는 토큰)를 복원할 수 있습니다. 또한 공격자는 결제 요청 페이로드(예: `target_path`, `after_path`)를 업데이트할 수도 있습니다. 이러한 필드는 프론트엔드 컨트롤러가 결제 후 사용자를 리디렉션하는 데 사용되므로, 공격자가 이를 자신에게 제어된 URL로 변경하여 구매자를 가로챌 수 있습니다. 해시는 UUID이므로 로그, 공유 링크, referrer 헤더 또는 동일 위치 클라이언트(out-of-band) 등을 통해 획득해야 하지만, 일단 해시가 알려져 있으면 인증이나 주문 토큰 지식과 같은 다른 자격 증명은 필요하지 않습니다. 생성 엔드포인트 `POST /api/v2/shop/orders/{tokenValue}/payment-requests`도 동일한 결함을 공유합니다: 이 엔드포인트는 호출자가 주문을 소유하는지 확인하지 않고 URL의 `tokenValue`만으로 대상 주문을 해결합니다. 해당 문제는 버전 2.0.18, 2.1.15 및 2.2.6에서 수정되었습니다. 우회 조치로는 `GET` 작업을 필터링하는 쿼리 확장자를 추가하고, `PUT` 상태 제공자(state provider)를 장식(decorate)하며, `POST` 생성 엔드포인트에 커맨드 버스 미들웨어(command-bus middleware)로 보호 장치를 적용한 후 서비스를 연결(wire)해야 합니다.
Once again VulDB remains the best source for vulnerability data.