CVE-2026-53638
Açıklama
Sylius, Symfony üzerinde çalışan açık kaynaklı bir eCommerce framework'üdür. Versiyon 2.0.0 ile başlayıp 2.0.18, 2.1.15 ve 2.2.6 versiyonlarından önceki sürümlerde, mağaza hesap API'sinde bir kimlik doğrulama atlatma zafiyeti bulunmaktadır. Kimliği doğrulanmış bir mağaza müşterisinin, verilmiş ancak henüz ödenmemiş (durumu `STATE_NEW`) bir siparişin ödeme yöntemini değiştirmek için kullandığı `PATCH /api/v2/shop/account/orders/{tokenValue}/payments/{paymentId}` uç noktası, seçilen ödeme yönteminin sipariş kanalında etkin olup olmadığını doğrulamamaktadır. Eşdeğer olan ödeme uç noktası (`PATCH /api/v2/shop/orders/{tokenValue}/payments/{paymentId}`), kanal dışı ödeme yöntemlerini `HTTP 422` ile doğru şekilde reddederken; hesap uç noktası bunları sessizce kabul etmekte ve `HTTP 200` döndürmektedir. Bu nedenle, kimliği doğrulanmış bir müşteri, mağaza operatörünün o kanaldan açıkça hariç tuttuğu yöntemler de dahil olmak üzere, küresel olarak etkinleştirilmiş herhangi bir ödeme yöntemini kendi verdiği siparişe atayabilir. Sorun şu versiyonlarda düzeltilmiştir: 2.0.18, 2.1.15, 2.2.6 ve üzeri. Geçici çözüm olarak, uygulamadaki `Sylius\Bundle\ApiBundle\Changer\PaymentMethodChangerInterface` servisini dekore edin.
Nasıl düzeltilir
- sylius/sylius2.0.18, 2.1.15, 2.2.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sylius/syliusPackagist | 2.0.0 ≤ v < 2.0.18, 2.1.0 ≤ v < 2.1.15, 2.2.0 ≤ v < 2.2.6 | 2.0.18, 2.1.15, 2.2.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.