Sylius · Sylius · CVE-2021-32720
**Nome do software vulnerável e versões afetadas**
Versões do Sylius anteriores à 1.9.5 e à 1.10.0-RC.1
**Descrição**
O problema está relacionado à exposição de certos detalhes de pedidos, incluindo ID do pedido, número do pedido, total de itens e valor do token, a usuários não autorizados. Essas informações, embora não sejam pessoais, podem ser usadas para ataques sociotécnicos ou para expor detalhes sobre a situação da loja a terceiros. Informações adicionais, como o número de itens no carrinho e a data de envio, também podem ficar acessíveis se a vulnerabilidade for explorada adequadamente.
**Recomendações**
Para versões do Sylius anteriores à 1.9.5, atualize para a versão 1.9.5 ou posterior.
Para versões do Sylius anteriores à 1.10.0-RC.1, atualize para a versão 1.10.0-RC.1 ou posterior.
Como solução temporária, considere ocultar os endpoints problemáticos atrás de um firewall para usuários não conectados, adicionando a configuração necessária em `config/packages/security.yaml`.
Como alternativa, decore o `SyliusBundleApiBundleDoctrineQueryCollectionExtensionOrdersByLoggedInUserExtension` e lance uma `SymfonyComponentSecurityCoreExceptionAccessDeniedException` se a classe for executada para um usuário não autorizado.