Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-68501 medium CVSS 6.5

Vulnérabilité dans sylius/mollie-plugin (CVE-2026-68501)

Résumé

Vulnérabilité dans sylius/mollie-plugin (CVE-2026-68501). Risque d'opérations non autorisées ou de divulgation. Exploitable via GET /{_locale}/thank-you. Atténuation : mise à jour vers 3.3.1 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Impact

Two unauthenticated Mollie shop endpoints look up orders by a sequential integer orderId
with no ownership or session check. Chained, they expose customer PII.

GET /{_locale}/thank-you (PageRedirectController::thankYouAction, route
sylius_mollie_shop_thank_you_page_redirect) loads the order with findOneBy(['id' => $orderId])
and returns a 302 whose Location header carries that order's tokenValue. Any orderId
thus yields that order's token. A non-existent id dereferences null and returns a 500. The
handler also writes the raw orderId into the session.

GET /{_locale}/get-code (QrCodeAction::fetchQrCodeFromOrder, route
sylius_mollie_shop_get_qr_code) runs the same lookup and returns the order's QR code and id
as JSON, ignoring the session cart; this is where the front-end got the integer id. A bad id
500s here too.

That tokenValue is the order's only access control. Passed to the Sylius core page
GET /{_locale}/register-after-checkout/{tokenValue} it returns a form pre-filled with the
customer's first name, last name and email. The full attack: enumerate orderId, read the
token from the redirect, read the PII, at roughly a 1-in-71 hit rate for guest orders.
register-after-checkout is Sylius core, not the plugin, and trusts the token by design, so
the leak is what must be fixed.

None of the plugin endpoints require a login, session or CSRF token.

Patches

Fixed in 2.2.8, 3.2.4 and 3.3.1.

Workarounds

If you…

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-68501 a été découverte dans sylius/mollie-plugin.
Des attaquants peuvent cibler un point d'entrée spécifique comme GET /{_locale}/thank-you à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 6.5/10.
Action : mettez à jour sylius/mollie-plugin vers 3.3.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « sylius/mollie-plugin CVE-2026-68501 » sur le site de l'éditeur.

CVE-2026-68501 (sylius/mollie-plugin) — CWE-639 / CVSS v3 6.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : GET /{_locale}/thank-you / GET /{_locale}/get-code / GET /{_locale}/register-after-checkout/{tokenValue} / orderId
Correctif : 3.3.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-639) affecte sylius/mollie-plugin. Les attaquants atteignent le code vulnérable via GET /{_locale}/thank-you sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de sylius/mollie-plugin. Surface d'attaque : GET /{_locale}/thank-you / GET /{_locale}/get-code / GET /{_locale}/register-after-checkout/{tokenValue} / orderId.

🔥 Gravité

Gravité : Moyenne (CVSS 6.5/10). Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 3.3.1.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs webserver/proxy/WAF des requêtes anormales vers GET /{_locale}/thank-you (en-têtes d'auth malformés, méta-caractères SQL). Auditez les fichiers de dépendances pour trouver sylius/mollie-plugin.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'sylius/mollie-plugin' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で sylius/mollie-plugin を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Hunt for indicators of compromise detect 
    grep 'GET /{_locale}/thank-you' /var/log/nginx/access.log | grep -E '(unusual_payload|sqli_pattern)'

    アクセスログで GET /{_locale}/thank-you への異常なリクエスト (不正な認証ヘッダ・SQLメタ文字)を過去 30〜90日分捜索。WAF/SIEM があれば該当パスのアラート発火履歴を確認。

  3. 3
    Apply patch patch 
    Upgrade sylius/mollie-plugin to 3.3.1

    ステージング環境で 3.3.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスと、Step 2 で見つけた異常検知の続報チェックを含めること。

  4. 4
    Post-deployment verification verify 
    Replay attack against GET /{_locale}/thank-you on staging to confirm patch closes the vector

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 2 と同じログクエリでアラート再発が無いか継続監視。

Paquets affectés

composer sylius/mollie-plugin
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"3.3.1"}]}]
Packagist sylius/mollie-plugin
[{"type":"ECOSYSTEM","events":[{"introduced":"3.3.0"},{"fixed":"3.3.1"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus