CVE-2026-53639

Sylius Symfony üzərində açıq mənbəli e-ticarət frameworküdür. 2.0.0 versiyasından başlayaraq və 2.0.18, 2.1.15 və 2.2.6 versiyalarından əvvəl `GET /api/v2/shop/payment-requests/{hash}` və `PUT /api/v2/shop/payment-requests/{hash}` endpoint-ləri ödəniş sorğusunu yalnız URL-dəki hash üzrə axtarır. Autentifikasiyadan keçmiş müştəriyə və ya əsas sifarişə qarşı heç bir sahiblik yoxlaması aparılmır. Ödəniş sorğusunun hash-ini əldə edən hücumçu ödəniş sorğusunu oxuya və cavabdakı `payment` IRI vasitəsilə əsas sifarişin `tokenValue` dəyərini (bu da öz növbəsində tam sifarişə, elementlərə, ünvanlara, müştərinin e-poçtuna və yekun məbləğlərə giriş verir) bərpa edə bilər; və/və ya ödəniş sorğusunun yükünü (məs. `target_path`, `after_path`) yeniləyə bilər. Bu sahələr front-end controller tərəfindən istifadəçini ödənişdən sonra yönləndirmək üçün istifadə olunur, buna görə hücumçu onları hücumçunun nəzarət etdiyi URL-ə dəyişdirə və alıcını ələ keçirə bilər. Hash UUID olduğundan onu zolaqdan kənar (loglar, paylaşılan linklər, referrer başlıqları, eyni yerdə yerləşən klient) əldə etmək lazımdır, lakin bir dəfə bilindikdən sonra başqa heç bir etimadnamə tələb olunmur, nə autentifikasiya, nə də sifariş tokenini bilmək. Yaradılma endpoint-i `POST /api/v2/shop/orders/{tokenValue}/payment-requests` eyni qüsuru paylaşır: hədəf sifarişi yalnız URL-dəki `tokenValue` üzrə həll edir və çağıranın sifarişə sahib olduğunu yoxlamır. Problem 2.0.18, 2.1.15 və 2.2.6 versiyalarında düzəldilmişdir. Müvəqqəti həll kimi, `GET` əməliyyatını filtrləyən query extension əlavə edin; `PUT` state provider-ini dekorasiya edin, `POST` yaradılma endpoint-ini command-bus middleware ilə qoruyun və xidmətləri qoşun.