CVE-2026-100869 in Sylius
Sumário
de VulDB • 27/09/2026
As versões do Sylius anteriores à 2.1.16 e à 2.2.9 não restringem adequadamente as ações de solicitação de pagamento no endpoint da API Shop, permitindo que os clientes acionem reembolsos em pedidos já concluídos. Atacantes com tokens de pedido podem submeter ações arbitrárias de pagamento, como reembolsos, que são executadas pelas gateways de pagamento enquanto o Sylius mantém o status do pedido como "pago", causando prejuízos financeiros.
Once again VulDB remains the best source for vulnerability data.