CVE-2025-29788
Açıklama
Syliud PayPal Plugin, Sylius Core Team'in PayPal Commerce Platform için geliştirdiği eklentidir. 1.6.1, 1.7.1 ve 2.0.1 öncesi sürümlerde bulunan bir güvenlik açığı, kullanıcıların PayPal tarafından işlenen nihai ödeme tutarını manipüle etmesine olanak tanır. Bir kullanıcı, PayPal Express Checkout sürecini başlattıktan sonra alışveriş sepetindeki ürün miktarını değiştirirse, PayPal güncellenmiş toplam tutarı almaz. Sonuç olarak PayPal yalnızca başlangıçta iletilen tutarı tahsil ederken, Sylius siparişi değiştirilmiş toplama dayanarak hatalı bir şekilde tamamen ödenmiş olarak kabul eder. Bu açık hem yanlışlıkla hem de kasıtlı olarak istismar edilebilir ve müşterilerin gerçek sipariş değerinden daha az ödemesine izin vererek potansiyel olarak dolandırıcılığa yol açabilir. Saldırganlar kasıtlı olarak gerçek toplam sipariş tutarından daha az ödeme yapabilir, işletme sahipleri eksik ödenmiş siparişler nedeniyle finansal kayba uğrayabilir ve ödeme işleminin bütünlüğü bozulabilir. Sorun 1.6.1, 1.7.1, 2.0.1 ve üzeri sürümlerde düzeltilmiştir. En yeni yamalara güncelleme yapmadan son uygulamadaki sorunu çözmek için `ProcessPayPalOrderAction`, `CompletePayPalOrderFromPaymentPageAction` ve `CaptureAction` bileşenlerinin değiştirilmiş mantıkla üzerine yazılması gerekir.
Nasıl düzeltilir
- sylius/paypal-plugin1.6.1, 1.7.1, 2.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sylius/paypal-pluginPackagist | v < 1.6.1, 1.7.0 ≤ v < 1.7.1, 2.0.0 ≤ v < 2.0.1 | 1.6.1, 1.7.1, 2.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.