CVE-2026-31821
CVE-2026-31821 · Sylius is Missing Authorization in API v2 Add Item Endpoint
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Sylius is an Open Source eCommerce Framework on Symfony. The POST /api/v2/shop/orders/{tokenValue}/items endpoint does not verify cart ownership. An unauthenticated attacker can add items to other registered customers' carts by knowing the cart tokenValue. An attacker who obtains a cart tokenValue can add arbitrary items to another customer's cart. The endpoint returns the full cart representation in the response (HTTP 201). The issue is fixed in versions: 2.0.16, 2.1.12, 2.2.3 and above.
CVSS 6.9 · Moyenne · EPSS 0,2% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: php
Produits et versions concernés
sylius
- Versions du logiciel
- >= 2.2.0, < 2.2.3: Concernée
- >= 2.1.0, < 2.1.12: Concernée
- >= 2.0.0, < 2.0.16: Concernée
Aucun correctif publié
sylius/sylius Packagist
- Versions du logiciel
- v2.0.0
- v2.0.1
- v2.0.10
- v2.0.11
- v2.0.12
- v2.0.13
- v2.0.14
- v2.0.15
- v2.0.2
- v2.0.3
- v2.0.4
- v2.0.5
- v2.0.6
- v2.0.7
- v2.0.8
- v2.0.9
- Plages de versions concernées
- ECOSYSTEM: ≥ 2.0.0, < 2.0.16
Mettez à jour vers 2.0.16
sylius/sylius Packagist
- Versions du logiciel
- v2.1.0
- v2.1.1
- v2.1.10
- v2.1.11
- v2.1.2
- v2.1.3
- v2.1.4
- v2.1.5
- v2.1.6
- v2.1.7
- v2.1.8
- v2.1.9
- Plages de versions concernées
- ECOSYSTEM: ≥ 2.1.0, < 2.1.12
Mettez à jour vers 2.1.12
sylius/sylius Packagist
- Versions du logiciel
- v2.2.0
- v2.2.1
- v2.2.2
- Plages de versions concernées
- ECOSYSTEM: ≥ 2.2.0, < 2.2.3
Mettez à jour vers 2.2.3