JVNDB-2026-006939

Syliusにおけるユーザ制御の鍵による認証回避に関する脆弱性

SyliusはSymfony上のオープンソースのeコマースフレームワークです。認証済みの不適切な直接オブジェクト参照（IDOR）脆弱性が複数のショップのLiveComponentsに存在しています。これは、#[LiveArg]パラメータ経由で受け取った検証されていないリソースIDが原因です。propsはLiveComponentの@checksumで保護されていますが、argsは完全にユーザーによって制御されており、#[LiveArg]でリソースIDを受け取って-find()で所有権検証なしに読み込むアクションはすべて脆弱です。Checkoutのaddress FormComponent（addressFieldUpdatedアクション）では、#[LiveArg]経由でaddressIdを受け取り所有権を検証せずに読み込むため、他ユーザーの名前、姓、会社名、電話番号、住所、都市、郵便番号、国が漏洩してしまいます。CartのWidgetComponent（refreshCartアクション）では、#[LiveArg]経由でcartIdを受け取りリポジトリから任意の注文を直接読み込むことで、注文合計とアイテム数が漏洩します。Cart SummaryComponent（refreshCartアクション）では、#[LiveArg]経由でcartIdを受け取りリポジトリから任意の注文を直接読み込むため、小計、割引、送料、税金（除外および含む）、注文合計が漏洩します。sylius_orderはアクティブなカート(state=cart)と完了済みの注文(state=new/fulfilled)を同じID空間で管理しているため、このcart IDORはアクティブカートだけでなくすべての注文データも漏洩させます。この問題はバージョン2.0.16、2.1.12、2.2.3以降で修正されています。

Sylius

• Sylius 2.0.0 以上 2.0.16 未満
• Sylius 2.1.0 以上 2.1.12 未満
• Sylius 2.2.0 以上 2.2.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : IDOR in Cart and Checkout LiveComponents  Advisory  Sylius/Sylius  GitHub

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-31820

1. National Vulnerability Database (NVD) : CVE-2026-31820

• [2026年03月16日]
    掲載