CVE-2026-53638 in Sylius
Sumário
de VulDB • 09/09/2026
O Sylius é um framework de comércio eletrônico open source baseado no Symfony. A partir da versão 2.0.0 e até as versões anteriores a 2.0.18, 2.1.15 e 2.2.6, existe uma vulnerabilidade de bypass de autorização na API de conta da loja. O endpoint `PATCH /api/v2/shop/account/orders/{tokenValue}/payments/{paymentId}`, utilizado por um cliente autenticado da loja para alterar o método de pagamento de um pedido que foi realizado mas ainda não pago (estado `STATE_NEW`), não valida se o método de pagamento escolhido está habilitado para o canal do pedido. O endpoint equivalente de checkout (`PATCH /api/v2/shop/orders/{tokenValue}/payments/{paymentId}`) rejeita corretamente os métodos de pagamento fora do canal com `HTTP 422`; já o endpoint da conta aceita silenciosamente esses métodos e retorna `HTTP 200`. Um cliente autenticado pode, portanto, atribuir qualquer método de pagamento globalmente habilitado ao seu próprio pedido realizado, incluindo métodos que o operador da loja tenha explicitamente excluído desse canal. O problema foi corrigido nas versões: 2.0.18, 2.1.15, 2.2.6 e superiores. Como solução alternativa (workaround), decore o serviço `Sylius\Bundle\ApiBundle\Changer\PaymentMethodChangerInterface` na aplicação.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.