CVE-2026-31823

Sylius Symfony üzərində açıq mənbəli e-ticarət frameworküdür. Autentifikasiyadan keçmiş istifadəçi tərəfindən yerləşdirilən saytlararası skriptinq (XSS) zəifliyi mağazanın frontendində və admin panelində bir neçə yerdə mövcuddur, çünki sanitizasiya edilməmiş obyekt adları xam HTML kimi göstərilir. Mağaza breadcrumb-ları (shared/breadcrumbs.html.twig): breadcrumbs makrosu etiket dəyərlərində Twig |raw filtrindən istifadə edir. Taxon adları, məhsul adları və əcdad adları birbaşa bu etiketlərə daxil olduğundan, <img src=x onerror=alert('XSS')> kimi zərərli taxon adı mağazanın frontendində JavaScript kimi göstərilir və icra olunur. Admin məhsul taxon seçicisi (ProductTaxonTreeController.js): rowRenderer metodu HTML quran şablon literalına ${name} dəyərini birbaşa interpolasiya edir və admin panelində taxon adları vasitəsilə skript inyeksiyasına imkan verir. Admin avtomatik tamamlama sahələri (Tom Select): Açılan siyahı elementləri və seçimlər obyekt adlarını ekranlaşdırmadan xam HTML kimi göstərir və obyekt adlarını əks etdirən istənilən avtomatik tamamlama sahəsi vasitəsilə XSS-ə imkan verir. Autentifikasiyadan keçmiş administrator obyekt adları (məs. taxon adı) vasitəsilə ixtiyari HTML və ya JavaScript yeridə bilər ki, bu da bütün istifadəçilər üçün davamlı olaraq göstərilir. Problem 1.9.12, 1.10.16, 1.11.17, 1.12.23, 1.13.15, 1.14.18, 2.0.16, 2.1.12, 2.2.3 və daha yuxarı versiyalarda düzəldilmişdir.