CVE-2026-53639

Sylius, Symfony üzerinde çalışan açık kaynaklı bir eCommerce framework'üdür. Versiyon 2.0.0 ile başlayıp 2.0.18, 2.1.15 ve 2.2.6 versiyonlarından önceki sürümlerde, `GET /api/v2/shop/payment-requests/{hash}` ve `PUT /api/v2/shop/payment-requests/{hash}` uç noktaları ödeme isteğini yalnızca URL'deki hash üzerinden sorgulamaktadır. Kimliği doğrulanmış müşteri veya ilgili siparişle ilgili herhangi bir sahiplik kontrolü yapılmamaktadır. Bir ödeme isteği hash'ini elde eden saldırgan, ödeme isteğini okuyabilir ve yanıttaki `payment` IRI aracılığıyla ilgili siparişin `tokenValue` değerini (bu değer siparişin tamamına, ürünlere, adreslere, müşteri e-postasına ve tutarlara erişim sağlar) geri kazanabilir ve/veya ödeme isteği veri yükünü (örneğin `target_path`, `after_path`) güncelleyebilir. Bu alanlar, ön uç denetleyicisi tarafından ödemeden sonra kullanıcıyı yönlendirmek için kullanılır, bu nedenle bir saldırgan bunları kendi kontrolündeki bir URL ile değiştirerek alıcıyı ele geçirebilir. Hash bir UUID olduğu için bunun bant dışı yollarla (günlükler, paylaşılan bağlantılar, referrer başlıkları, aynı konumdaki bir istemci) elde edilmesi gerekir ancak bir kez bilindiğinde ne kimlik doğrulamaya ne de sipariş token bilgisine ihtiyaç duyulur. Oluşturma uç noktası olan `POST /api/v2/shop/orders/{tokenValue}/payment-requests` de aynı hatayı paylaşmaktadır: hedef siparişi, çağrının siparişe sahip olduğunu doğrulamadan yalnızca URL'deki `tokenValue` üzerinden çözümlemektedir. Sorun 2.0.18, 2.1.15 ve 2.2.6 versiyonlarında düzeltilmiştir. Geçici bir çözüm olarak, `GET` işlemini filtreleyen bir sorgu uzantısı ekleyin; `PUT` durum sağlayıcısını dekore edin, `POST` oluşturma uç noktasını bir komut yolu ara yazılımı (command-bus middleware) ile koruyun ve servisleri bağlayın.