CVE-2026-31821
CVE-2026-31821 · Sylius is Missing Authorization in API v2 Add Item Endpoint
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Sylius is an Open Source eCommerce Framework on Symfony. The POST /api/v2/shop/orders/{tokenValue}/items endpoint does not verify cart ownership. An unauthenticated attacker can add items to other registered customers' carts by knowing the cart tokenValue. An attacker who obtains a cart tokenValue can add arbitrary items to another customer's cart. The endpoint returns the full cart representation in the response (HTTP 201). The issue is fixed in versions: 2.0.16, 2.1.12, 2.2.3 and above.
CVSS 6.9 · Mittel · EPSS 0,2% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: php
Betroffene Produkte und Versionen
sylius
- Softwareversionen
- >= 2.2.0, < 2.2.3: Betroffen
- >= 2.1.0, < 2.1.12: Betroffen
- >= 2.0.0, < 2.0.16: Betroffen
Keine Korrektur veröffentlicht
sylius/sylius Packagist
- Softwareversionen
- v2.0.0
- v2.0.1
- v2.0.10
- v2.0.11
- v2.0.12
- v2.0.13
- v2.0.14
- v2.0.15
- v2.0.2
- v2.0.3
- v2.0.4
- v2.0.5
- v2.0.6
- v2.0.7
- v2.0.8
- v2.0.9
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 2.0.0, < 2.0.16
Auf 2.0.16 aktualisieren
sylius/sylius Packagist
- Softwareversionen
- v2.1.0
- v2.1.1
- v2.1.10
- v2.1.11
- v2.1.2
- v2.1.3
- v2.1.4
- v2.1.5
- v2.1.6
- v2.1.7
- v2.1.8
- v2.1.9
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 2.1.0, < 2.1.12
Auf 2.1.12 aktualisieren
sylius/sylius Packagist
- Softwareversionen
- v2.2.0
- v2.2.1
- v2.2.2
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 2.2.0, < 2.2.3
Auf 2.2.3 aktualisieren