CVE-2021-32720

Sylius, Symfony tabanlı açık kaynaklı bir eCommerce platformudur. Sylius'un 1.9.5 ve 1.10.0-RC.1 öncesindeki sürümlerinde, verilen tüm siparişlerin bazı detayları (sipariş ID'si, sipariş numarası, ürün toplamı ve token değeri) yetkisiz kullanıcılara açığa çıkmaktaydı. Doğru şekilde istismar edilirse, sepetteki ürün sayısı ve sevkiyat tarihi gibi birkaç ek bilgi daha alınabilir. Bu veriler kritik görünmemekte ve kişisel veri niteliği taşımamaktadır; ancak sosyoteknik saldırılar için kullanılabilir veya mağaza durumuna ilişkin bazı ayrıntıları üçüncü taraflara ifşa edebilir. Toplanabilecek veriler, işlenen siparişlerin sayısı veya belirli bir zamandaki değerleridir. Sorun Sylius 1.9.5 ve 1.10.0-RC.1 sürümlerinde düzeltilmiştir. Güvenlik açığı için birkaç geçici çözüm bulunmaktadır. İlk olası çözüm, sorunlu uç noktaları giriş yapmamış kullanıcılar için güvenlik duvarının arkasına gizlemektir. Bu işlem yalnızca sipariş listesini güvenlik duvarına tabi tutacak ve erişime yalnızca yetkili kullanıcıların izin vermesini sağlayacaktır. Bir kullanıcı yetkilendirildiğinde, yalnızca kendi siparişlerine erişebilecektir. İkinci olası çözüm ise `\Sylius\Bundle\ApiBundle\Doctrine\QueryCollectionExtension\OrdersByLoggedInUserExtension` sınıfını dekore etmek ve sınıf yetkisiz bir kullanıcı için çalıştırıldığında `Symfony\Component\Security\Core\Exception\AccessDeniedException` hatası fırlatmaktır.