CVE-2026-53639 in Sylius
Sumário
de VulDB • 09/09/2026
Sylius é um framework de comércio eletrônico (eCommerce) Open Source baseado no Symfony. A partir da versão 2.0.0 e até as versões anteriores à 2.0.18, 2.1.15 e 2.2.6, os endpoints `GET /api/v2/shop/payment-requests/{hash}` e `PUT /api/v2/shop/payment-requests/{hash}` consultam a solicitação de pagamento exclusivamente pelo hash presente na URL. Nenhuma verificação de propriedade é realizada em relação ao cliente autenticado ou à ordem subjacente. Um atacante que obtenha o hash da solicitação de pagamento pode ler tal solicitação e, por meio do IRI `payment` na resposta, recuperar o `tokenValue` da ordem subjacente (que concede acesso a toda a ordem, itens, endereços, email do cliente e totais); e/ou atualizar o payload da solicitação de pagamento (por exemplo, `target_path`, `after_path`). Esses campos são utilizados pelo controlador front-end para redirecionar o usuário após o pagamento, permitindo que um atacante os altere para uma URL sob seu controle e intercepte o comprador. O hash é um UUID, portanto deve ser obtido por canais externos (logs, links compartilhados, cabeçalhos de referrer ou clientes co-localizados), mas, uma vez conhecido, nenhuma outra credencial é necessária, nem autenticação nem conhecimento do token da ordem. O endpoint de criação `POST /api/v2/shop/orders/{tokenValue}/payment-requests` compartilha a mesma falha: ele resolve a ordem alvo exclusivamente pelo `tokenValue` na URL sem verificar se o chamador possui a ordem. A vulnerabilidade é corrigida nas versões 2.0.18, 2.1.15 e 2.2.6. Como solução alternativa, adicione uma extensão de consulta que filtre a operação `GET`; decore o provedor de estado do `PUT`, proteja o endpoint de criação `POST` com um middleware de command-bus e configure os serviços.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.