یک آسیب‌پذیری امنیتی با شناسه CVE-2026-100872 در پلتفرم تجارت الکترونیک Sylius شناسایی شده است که می‌تواند منجر به ضررهای مالی قابل توجه برای فروشندگان شود.
جزئیات فنی آسیب‌پذیری
در نسخه‌های Sylius پیش از 2.1.16 و 2.2.9، سیستم در هنگام بازمحاسبه سبد خرید (Cart Recalculation)، مبالغ پرداخت شده را به درستی اعتبارسنجی نمی‌کند. این نقص امنیتی به مهاجمان اجازه می‌دهد تا حتی بدون داشتن حساب کاربری (Unauthenticated)، مبلغ نهایی سفارش را پس از شروع تراکنش در درگاه پرداخت تغییر دهند.
سناریوی حمله
- مهاجم ابتدا یک سفارش با مبلغ بسیار کم ایجاد کرده و تراکنش را در درگاه پرداخت (Payment Gateway) آغاز می‌کند.
- پس از تایید پرداخت مبلغ کم توسط درگاه، مهاجم مبلغ سفارش را افزایش داده و اقلام بیشتری به سبد خرید اضافه می‌کند.
- به دلیل نقص در اعتبارسنجی، سیستم Sylius سفارش افزایش‌یافته را به عنوان «کاملاً پرداخت شده» علامت‌گذاری می‌کند، در حالی که درگاه پرداخت تنها مبلغ اولیه و اندک را دریافت کرده است.
راهکار مقابله
به مدیران سیستم و توسعه‌دهندگانی که از این پلتفرم استفاده می‌کنند توصیه می‌شود در سریع‌ترین زمان ممکن، Sylius را به نسخه‌های 2.1.16 یا 2.2.9 و بالاتر به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
