PT-2024-40210 · Sylius · Sylius
Publicado
2024-05-29
·
Atualizado
2024-05-29
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas:
Versões do Sylius 1.0.0 a 1.0.16
Versões do Sylius 1.1.0 a 1.1.8
Versões do Sylius 1.2.0 a 1.2.1
Descrição:
O problema afeta determinadas ações no painel de administração que não exigiam um token CSRF, incluindo marcar o pagamento de um pedido como concluído, marcar o pagamento de um pedido como reembolsado, marcar uma avaliação de produto como aceita e marcar uma avaliação de produto como rejeitada.
Recomendações:
Para as versões do Sylius 1.0.0 a 1.0.16, atualize para a versão 1.0.17 para corrigir o problema.
Para as versões do Sylius 1.1.0 a 1.1.8, atualize para a versão 1.1.9 para corrigir o problema.
Para as versões do Sylius 1.2.0 a 1.2.1, atualize para a versão 1.2.2 para corrigir o problema.
Como solução temporária, considere desativar o método
applyStateMachineTransitionAction no ResourceController até que um patch esteja disponível, ou adicione csrf protection: false à sua configuração de roteamento, caso seja usado no contexto da API.Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Sylius