p PatchFirst

CVE-2026-68501

CVE-2026-68501 · Sylius Mollie Plugin: Unauthenticated IDOR leaks order token and customer PII

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Sylius Mollie Plugin provides Mollie payment integration for Sylius applications. Prior to 2.2.8, 3.2.4, and 3.3.1, Sylius Mollie Plugin's GET /{_locale}/thank-you PageRedirectController::thankYouAction and GET /{_locale}/get-code QrCodeAction::fetchQrCodeFromOrder endpoints look up sequential orderId values without ownership or session checks, exposing order tokenValue values that can be used with GET /{_locale}/register-after-checkout/{tokenValue} to view customer first name, last name, and email. This issue is fixed in 2.2.8, 3.2.4, and 3.3.1.

CVSS 6.5 · Средний · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: php

Затронутые продукты и версии

  • mollieplugin

    Версии
    • < 2.2.8: Затронуто
    • >= 3.0.0, < 3.2.4: Затронуто
    • >= 3.3.0, < 3.3.1: Затронуто

    Нет опубликованного исправления

  • sylius/mollie-plugin Packagist

    Версии
    • v0.1.0
    • v1.0.0
    • v1.0.1
    • v1.0.2
    • v2.0.0
    • v2.0.1
    • v2.0.2
    • v2.1.0
    • v2.1.1
    • v2.2.0
    • v2.2.1
    • v2.2.2
    • v2.2.3
    • v2.2.4
    • v2.2.5
    • v2.2.6
    • v2.2.7
    Затронутые диапазоны версий
    • ECOSYSTEM: < 2.2.8

    Обновитесь до 2.2.8

  • sylius/mollie-plugin Packagist

    Версии
    • v3.0.0
    • v3.0.1
    • v3.0.2
    • v3.0.3
    • v3.1.0
    • v3.1.1
    • v3.1.2
    • v3.2.0
    • v3.2.1
    • v3.2.2
    • v3.2.3
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 3.0.0, < 3.2.4

    Обновитесь до 3.2.4

  • sylius/mollie-plugin Packagist

    Версии
    • v3.3.0
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 3.3.0, < 3.3.1

    Обновитесь до 3.3.1

Первоисточники

Проверьте свой сервер →