Nome do software vulnerável e versões afetadas:

Versões do Sylius 1.0.0 a 1.0.16

Versões do Sylius 1.1.0 a 1.1.8

Versões do Sylius 1.2.0 a 1.2.1

Descrição:

A vulnerabilidade afeta determinadas ações no painel de administração que não exigiam um token CSRF, incluindo marcar o pagamento de um pedido como concluído, marcar o pagamento de um pedido como reembolsado, marcar uma avaliação de produto como aceita e marcar uma avaliação de produto como rejeitada. O método applyStateMachineTransitionAction no ResourceController também estava vulnerável.

Recomendações:

Para as versões do Sylius 1.0.0 a 1.0.16, atualize para a versão 1.0.17 para corrigir o problema.

Para as versões do Sylius 1.1.0 a 1.1.8, atualize para a versão 1.1.9 para corrigir o problema.

Para as versões 1.2.0 a 1.2.1 do Sylius, atualize para a versão 1.2.2 para corrigir o problema.

Como solução temporária, considere desativar o método applyStateMachineTransitionAction no ResourceController até que um patch esteja disponível, ou adicione csrf protection: false à sua configuração de roteamento, caso seja usado no contexto da API.