CVE-2026-31821
CVE-2026-31821 · Sylius is Missing Authorization in API v2 Add Item Endpoint
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Sylius is an Open Source eCommerce Framework on Symfony. The POST /api/v2/shop/orders/{tokenValue}/items endpoint does not verify cart ownership. An unauthenticated attacker can add items to other registered customers' carts by knowing the cart tokenValue. An attacker who obtains a cart tokenValue can add arbitrary items to another customer's cart. The endpoint returns the full cart representation in the response (HTTP 201). The issue is fixed in versions: 2.0.16, 2.1.12, 2.2.3 and above.
CVSS 6.9 · Средний · EPSS 0,2% · Есть исправление
- Опубликовано
- Обновлено
Стек: php
Затронутые продукты и версии
sylius
- Версии
- >= 2.2.0, < 2.2.3: Затронуто
- >= 2.1.0, < 2.1.12: Затронуто
- >= 2.0.0, < 2.0.16: Затронуто
Нет опубликованного исправления
sylius/sylius Packagist
- Версии
- v2.0.0
- v2.0.1
- v2.0.10
- v2.0.11
- v2.0.12
- v2.0.13
- v2.0.14
- v2.0.15
- v2.0.2
- v2.0.3
- v2.0.4
- v2.0.5
- v2.0.6
- v2.0.7
- v2.0.8
- v2.0.9
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 2.0.0, < 2.0.16
Обновитесь до 2.0.16
sylius/sylius Packagist
- Версии
- v2.1.0
- v2.1.1
- v2.1.10
- v2.1.11
- v2.1.2
- v2.1.3
- v2.1.4
- v2.1.5
- v2.1.6
- v2.1.7
- v2.1.8
- v2.1.9
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 2.1.0, < 2.1.12
Обновитесь до 2.1.12
sylius/sylius Packagist
- Версии
- v2.2.0
- v2.2.1
- v2.2.2
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 2.2.0, < 2.2.3
Обновитесь до 2.2.3