p PatchFirst

CVE-2026-68501

CVE-2026-68501 · Sylius Mollie Plugin: Unauthenticated IDOR leaks order token and customer PII

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Sylius Mollie Plugin provides Mollie payment integration for Sylius applications. Prior to 2.2.8, 3.2.4, and 3.3.1, Sylius Mollie Plugin's GET /{_locale}/thank-you PageRedirectController::thankYouAction and GET /{_locale}/get-code QrCodeAction::fetchQrCodeFromOrder endpoints look up sequential orderId values without ownership or session checks, exposing order tokenValue values that can be used with GET /{_locale}/register-after-checkout/{tokenValue} to view customer first name, last name, and email. This issue is fixed in 2.2.8, 3.2.4, and 3.3.1.

CVSS 6.5 · Media · EPSS 0,6% · Corrección disponible

Publicación
Actualización

Pila tecnológica: php

Productos y versiones afectados

  • mollieplugin

    Versiones
    • < 2.2.8: Afectada
    • >= 3.0.0, < 3.2.4: Afectada
    • >= 3.3.0, < 3.3.1: Afectada

    Sin corrección publicada

  • sylius/mollie-plugin Packagist

    Versiones
    • v0.1.0
    • v1.0.0
    • v1.0.1
    • v1.0.2
    • v2.0.0
    • v2.0.1
    • v2.0.2
    • v2.1.0
    • v2.1.1
    • v2.2.0
    • v2.2.1
    • v2.2.2
    • v2.2.3
    • v2.2.4
    • v2.2.5
    • v2.2.6
    • v2.2.7
    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.2.8

    Actualiza a 2.2.8

  • sylius/mollie-plugin Packagist

    Versiones
    • v3.0.0
    • v3.0.1
    • v3.0.2
    • v3.0.3
    • v3.1.0
    • v3.1.1
    • v3.1.2
    • v3.2.0
    • v3.2.1
    • v3.2.2
    • v3.2.3
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 3.0.0, < 3.2.4

    Actualiza a 3.2.4

  • sylius/mollie-plugin Packagist

    Versiones
    • v3.3.0
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 3.3.0, < 3.3.1

    Actualiza a 3.3.1

Fuentes originales

Comprueba tu servidor →