CVE-2026-31819
Açıklama
Sylius, Symfony üzerinde çalışan açık kaynaklı bir eCommerce framework'üdür. CurrencySwitchController::switchAction(), ImpersonateUserController::impersonateAction() ve StorageBasedLocaleSwitcher::handle() fonksiyonları, yönlendirme yaparken HTTP Referer başlığını doğrudan kullanmaktadır. Saldırı, kurbanın saldırgan tarafından kontrol edilen bir sayfaya yerleştirilmiş meşru bir uygulama bağlantısına tıklamasını gerektirir. Tarayıcı, saldırganın sitesini otomatik olarak Referer olarak gönderir ve uygulama buraya geri yönlendirme yapar. Yönlendirme güvenilir bir etki alanından geldiği için bu durum kimlik avı veya kimlik bilgisi hırsızlığı amacıyla kullanılabilir. Şiddet uç noktaya göre değişmektedir; genel uç noktalar herhangi bir kimlik doğrulama gerektirmez ve kolayca istismar edilebilirken, yalnızca yöneticiye özel uç noktalar kimliği doğrulanmış bir oturum gerektirir ancak bir yöneticinin e-posta veya sohbet gibi harici bir kaynaktaki bağlantıyı takip etmesi durumunda savunmasız kalmaya devam eder. Sorun şu sürümlerde düzeltilmiştir: 1.9.12, 1.10.16, 1.11.17, 1.12.23, 1.13.15, 1.14.18, 2.0.16, 2.1.12, 2.2.3 ve üzeri.
Nasıl düzeltilir
- sylius sylius1.9.12, 1.10.16, 1.11.17, 1.12.23, 1.13.15, 1.14.18, 2.0.16, 2.1.12, 2.2.3 ya da sonraki bir sürüm
- sylius/sylius1.9.12, 1.10.16, 1.11.17, 1.12.23, 1.13.15, 1.14.18, 2.0.16, 2.1.12, 2.2.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sylius sylius | v < 1.9.12, 1.10.0 ≤ v < 1.10.16, 1.11.0 ≤ v < 1.11.17, 1.12.0 ≤ v < 1.12.23, 1.13.0 ≤ v < 1.13.15, 1.14.0 ≤ v < 1.14.18, 2.0.0 ≤ v < 2.0.16, 2.1.0 ≤ v < 2.1.12, 2.2.0 ≤ v < 2.2.3 | 1.9.12, 1.10.16, 1.11.17, 1.12.23, 1.13.15, 1.14.18, 2.0.16, 2.1.12, 2.2.3 |
| sylius/syliusPackagist | v < 1.9.12, 1.10.0 ≤ v < 1.10.16, 1.11.0 ≤ v < 1.11.17, 1.12.0 ≤ v < 1.12.23, 1.13.0 ≤ v < 1.13.15, 1.14.0 ≤ v < 1.14.18, 2.0.0 ≤ v < 2.0.16, 2.1.0 ≤ v < 2.1.12, 2.2.0 ≤ v < 2.2.3 | 1.9.12, 1.10.16, 1.11.17, 1.12.23, 1.13.15, 1.14.18, 2.0.16, 2.1.12, 2.2.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.