Sylius до 2.1.16 и 2.2.9: подмена суммы платежа — CVE-2026-100872

ЗАГОЛОВОК Sylius до 2.1.16 и 2.2.9: подмена суммы платежа — CVE-2026-100872 ===PREVIEW=== В Sylius версий до 2.1.16 и 2.2.9 обнаружена уязвимость высокого риска (CVSS 8.7), позволяющая неаутентифицированному злоумышленнику изменить итоговую сумму заказа уже после инициализации транзакции платёжного шлюза. Атакующий оплачивает небольшую сумму, увеличивает заказ после захвата платежа, и система отмечает завышенный заказ как полностью оплаченный. Уязвимость затрагивает интернет-магазины на базе Sylius. ===DETAIL === В популярной e-commerce-платформе Sylius выявлена уязвимость, связанная с недостаточной проверкой суммы платежа при пересчёте корзины. Она получила идентификатор CVE-2026-100872 и высокую оценку критичности — 8.7 по шкале CVSS.

Подробности

Уязвимость затрагивает Sylius версий до 2.1.16 и 2.2.9. Продукт: Sylius. Суть проблемы — отсутствие валидации суммы платежа в момент пересчёта корзины (cart recalculation). Это позволяет неаутентифицированному атакующему изменить итоговую сумму заказа уже после того, как была инициирована транзакция в платёжном шлюзе. Сценарий атаки выглядит так: злоумышленник оформляет заказ на небольшую сумму, инициирует оплату, после чего увеличивает состав или стоимость заказа. Платёжный шлюз при этом списывает только первоначальную (малую) сумму, тогда как система Sylius помечает завышенный заказ как полностью оплаченный. В результате магазин отгружает товар или предоставляет услугу, не получив соответствующей оплаты, что ведёт к прямым финансовым потерям. Поскольку эксплуатация не требует аутентификации, а логика атаки опирается на штатные операции с корзиной и оплатой, риск массовых злоупотреблений в уязвимых инсталляциях оценивается как высокий.

Что делать

Основная рекомендация — обновить Sylius до версий 2.1.16 или 2.2.9 либо более поздних. В этих релизах проверка суммы платежа при пересчёте корзины приведена в порядок, и подмена итоговой суммы после инициализации транзакции становится невозможной. Если немедленное обновление невозможно, следует рассмотреть временные меры: - ограничить возможность изменения состава и суммы заказа после инициализации платежа на уровне бизнес-логики и шаблонов; - усилить серверную валидацию: сверять фактически захваченную шлюзом сумму с итоговой суммой заказа перед тем, как помечать его оплаченным; - настроить мониторинг аномалий — расхождений между суммой, зафиксированной платёжным провайдером, и суммой заказа в системе; - по возможности сверять статусы оплат через вебхуки и повторные запросы к платёжному шлюзу, не полагаясь только на внутреннее состояние Sylius. После обновления рекомендуется проверить журналы заказов и платежей на предмет подозрительных расхождений, которые могли возникнуть до установки патча. Итог: CVE-2026-100872 — серьёзная уязвимость уровня HIGH, позволяющая неаутентифицированному злоумышленнику оплачивать заказы по заниженной цене. Владельцам магазинов на Sylius следует как можно скорее обновиться до 2.1.16 / 2.2.9 и проверить корректность сверки платежей.

Источник: CVE Project (cvelistV5)