8.2
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Sylius versions before 2.1.16 and 2.2.9 fail to restrict payment request actions in the Shop API endpoint, allowing customers to trigger refunds on completed orders. Attackers with order tokens can submit arbitrary payment actions like refunds that payment gateways execute while Sylius maintains order as paid, causing financial loss.
Засегнати продукти
- Sylius Sylius: 2.0.0 преди 2.1.16; 2.2.0 преди 2.2.9
Вид слабост
История
- 27 септември 2026 Публикувано
Други уязвимости в Sylius Sylius
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-100869
- https://nvd.nist.gov/vuln/detail/CVE-2026-100869
- https://github.com/Sylius/Sylius/security/advisories/GHSA-2rv4-pjmm-7fxf
- https://github.com/Sylius/Sylius/pull/19214
- https://github.com/Sylius/Sylius/commit/5813831f60f3a60b735a86a57c4b519626a3b75d
- https://github.com/Sylius/Sylius/releases/tag/v2.2.9
- https://github.com/Sylius/Sylius
- https://www.vulncheck.com/advisories/sylius-2-x-before-2.1.16-and-2.2.9-arbitrary-payment-action-via-shop-api