p PatchFirst

CVE-2026-68501

CVE-2026-68501 · Sylius Mollie Plugin: Unauthenticated IDOR leaks order token and customer PII

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Sylius Mollie Plugin provides Mollie payment integration for Sylius applications. Prior to 2.2.8, 3.2.4, and 3.3.1, Sylius Mollie Plugin's GET /{_locale}/thank-you PageRedirectController::thankYouAction and GET /{_locale}/get-code QrCodeAction::fetchQrCodeFromOrder endpoints look up sequential orderId values without ownership or session checks, exposing order tokenValue values that can be used with GET /{_locale}/register-after-checkout/{tokenValue} to view customer first name, last name, and email. This issue is fixed in 2.2.8, 3.2.4, and 3.3.1.

CVSS 6.5 · Moyenne · EPSS 0,6% · Correctif disponible

Publication
Mise à jour

Pile logicielle: php

Produits et versions concernés

  • mollieplugin

    Versions du logiciel
    • < 2.2.8: Concernée
    • >= 3.0.0, < 3.2.4: Concernée
    • >= 3.3.0, < 3.3.1: Concernée

    Aucun correctif publié

  • sylius/mollie-plugin Packagist

    Versions du logiciel
    • v0.1.0
    • v1.0.0
    • v1.0.1
    • v1.0.2
    • v2.0.0
    • v2.0.1
    • v2.0.2
    • v2.1.0
    • v2.1.1
    • v2.2.0
    • v2.2.1
    • v2.2.2
    • v2.2.3
    • v2.2.4
    • v2.2.5
    • v2.2.6
    • v2.2.7
    Plages de versions concernées
    • ECOSYSTEM: < 2.2.8

    Mettez à jour vers 2.2.8

  • sylius/mollie-plugin Packagist

    Versions du logiciel
    • v3.0.0
    • v3.0.1
    • v3.0.2
    • v3.0.3
    • v3.1.0
    • v3.1.1
    • v3.1.2
    • v3.2.0
    • v3.2.1
    • v3.2.2
    • v3.2.3
    Plages de versions concernées
    • ECOSYSTEM: ≥ 3.0.0, < 3.2.4

    Mettez à jour vers 3.2.4

  • sylius/mollie-plugin Packagist

    Versions du logiciel
    • v3.3.0
    Plages de versions concernées
    • ECOSYSTEM: ≥ 3.3.0, < 3.3.1

    Mettez à jour vers 3.3.1

Sources originales

Vérifiez votre serveur →