PT-2026-24475 · Sylius · Sylius

Rokorolov · CVE-2026-31821 · Publicado 2026-03-10 · Atualizado 2026-03-11

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Sylius anteriores a 2.0.16 Versões do Sylius anteriores a 2.1.12 Versões do Sylius anteriores a 2.2.3

Descrição O endpoint POST /api/v2/shop/orders/{tokenValue}/items no Sylius não verifica a propriedade do carrinho. Isso permite que um atacante não autenticado adicione itens aos carrinhos de outros clientes registrados se souberem o tokenValue. Um atacante que obtenha um tokenValue pode adicionar itens arbitrários ao carrinho de outro cliente. O endpoint retorna a representação completa do carrinho na resposta (HTTP 201).

Recomendações Atualize para a versão 2.0.16 ou posterior do Sylius. Atualize para a versão 2.1.12 ou posterior do Sylius. Atualize para a versão 2.2.3 ou posterior do Sylius.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-31821

GHSA-WJMG-4CQ5-M8HG

Produtos afetados

Sylius

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/31xxx/CVE-2026-31821.json · Exploit
• https://github.com/Sylius/Sylius · Nota
• https://github.com/Sylius/Sylius/security/advisories/GHSA-wjmg-4cq5-m8hg · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-wjmg-4cq5-m8hg · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-31821 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2031504081001255351 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-31821 · Nota de Segurança