CVE-2026-31823

Sylius è un framework open source per l'eCommerce basato su Symfony. Esiste una vulnerabilità di cross-site scripting (XSS) persistente autenticata in più punti del frontend del negozio e del pannello di amministrazione, dovuta alla mancata sanificazione dei nomi degli entity che vengono renderizzati come HTML raw. Breadcrumbs del negozio (shared/breadcrumbs.html.twig): il macro dei breadcrumbs utilizza il filtro Twig |raw sui valori delle etichette. Poiché i nomi dei taxon, dei prodotti e degli antenati vengono passati direttamente a queste etichette, un nome di taxon malevolo come <img src=x onerror=alert('XSS')> viene renderizzato ed eseguito come JavaScript sul frontend. Selettore di taxon del prodotto nell’amministrazione (ProductTaxonTreeController.js): il metodo rowRenderer interpola ${name} direttamente in una template literal che costruisce HTML, consentendo l’iniezione di script tramite i nomi dei taxon nel pannello di amministrazione. Campi di autocomplete nell’amministrazione (Tom Select): gli elementi del dropdown e le opzioni rendono i nomi degli entity come HTML raw senza escaping, permettendo attacchi XSS attraverso qualsiasi campo di autocomplete che visualizza i nomi degli entity. Un amministratore autenticato può iniettare HTML o JavaScript arbitrari tramite i nomi degli entity (ad esempio, nome del taxon) che vengono renderizzati in modo persistente per tutti gli utenti. La vulnerabilità è stata corretta nelle versioni: 1.9.12, 1.10.16, 1.11.17, 1.12.23, 1.13.15, 1.14.18, 2.0.16, 2.1.12, 2.2.3 e successive.