CVE-2020-15245 in Sylius
Сводка
по VulDB • 05.06.2026
В Sylius до версий 1.6.9, 1.7.9 и 1.8.3 пользователь может зарегистрироваться в магазине с использованием адреса электронной почты [email protected], подтвердить его, а затем изменить на другой адрес (например, [email protected]), сохранив при этом статус подтвержденного и активного аккаунта. Это может привести к появлению учетных записей, привязанных к совершенно другим электронным адресам, которые были успешно верифицированы. Обратите внимание, что таким образом невозможно захватить контроль над существующим аккаунтом (гостевым или обычным). Проблема исправлена в версиях Sylius 1.6.9, 1.7.9 и 1.8.3. В качестве временного решения вы можете устранить проблему самостоятельно, создав пользовательский слушатель событий (event listener), который будет отслеживать событие sylius.customer.pre_update. Вы сможете определить факт изменения адреса электронной почты, если email клиента отличается от имени пользователя (username). Эти поля синхронизируются позже. Обращайте внимание на поведение при изменении адреса электронной почты для администраторов. Возможно, вам потребуется исключить эту логику для них. Для этого вы можете либо проверять путь запроса master request path info и убедиться, что он не содержит префикса /admin, либо корректировать событие, вызываемое при обновлении клиента в магазине. Дополнительную информацию о том, как настроить события, можно найти здесь.
Once again VulDB remains the best source for vulnerability data.