Ability to switch channels via GET parameter enabled in production environments
Impact
This vulnerability gives the ability to switch channels via the _channel_code GET parameter in production environments. This was meant to be enabled only when %kernel.debug% is set to true.
However, if no sylius_channel.debug is set explicitly in the configuration, the default value which is %kernel.debug% will be not resolved and cast to boolean, enabling this debug feature even if that parameter is set to false.
Patches
Patch has been provided for Sylius 1.3.x and newer - 1.3.16, 1.4.12, 1.5.9, 1.6.5. Versions older than 1.3 are not covered by our security support anymore.
Workarounds
Unsupported versions could be patched by adding the following configuration to run in production:
sylius_channel:
debug: falseCzego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka Composer | sylius/resource-bundle | >= 1.4.0, < 1.4.6, >= 1.5.0, < 1.5.1, >= 1.6.0, < 1.6.3, >= 1.0.0, < 1.3.13 | 1.4.6, 1.5.1, 1.6.3, 1.3.13 |
| Paczka Composer | sylius/sylius | < 1.3.16, >= 1.4.0, < 1.4.12, >= 1.5, < 1.5.9, >= 1.6.0, < 1.6.5 | 1.3.16, 1.4.12, 1.5.9, 1.6.5 |
Odnośniki
- https://github.com/Sylius/SyliusResourceBundle/security/advisories/GHSA-8vp7-j5cj-vvm2
- https://nvd.nist.gov/vuln/detail/CVE-2020-5220
- https://github.com/FriendsOfPHP/security-advisories/blob/master/sylius/resource-bundle/CVE-2020-5220.yaml
- https://github.com/FriendsOfPHP/security-advisories/blob/master/sylius/sylius/CVE-2020-5220.yaml
- https://github.com/Sylius/Sylius/security/advisories/GHSA-prg5-hg25-8grq
- https://nvd.nist.gov/vuln/detail/CVE-2020-5218
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:L/I:L/A:N- Słabość (CWE)
CWE-200, CWE-444- Platforma
- Composer
- Paczka
sylius/resource-bundle, sylius/sylius- Ujawniono
- 31.01.2020
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-8vp7-j5cj-vvm2 - CC BY 4.0
OSV / GitHub Advisory Database - GHSA-prg5-hg25-8grq - CC BY 4.0
Historia podatności: sylius/resource-bundle
Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 4
- Pierwsza → ostatnia
- 01.2020 05.2024
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 1
- Wysoka 1
- Średnia 1
- Niska 1
Ujawnienia w latach
- 2020: 3
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 1
- 2025: 0
- 2026: 0
-
Ability to switch channels via GET parameter enabled in production environments ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.