CVE-2026-31824

Sylius è un framework open source per l'eCommerce basato su Symfony. È stato scoperto un race condition di tipo Time-of-Check To Time-of-Use (TOCTOU) nell'applicazione delle limitazioni di utilizzo delle promozioni. La stessa classe di vulnerabilità riguarda il limite di utilizzo delle promozioni (il contatore globale usato sugli enti Promotion), il limite di utilizzo dei coupon (il contatore globale usato sugli enti PromotionCoupon) e il limite di utilizzo per cliente dei coupon (il conteggio delle redemption per cliente sugli enti PromotionCoupon). In tutti e tre i casi, il controllo di eleggibilità legge il contatore usato (o il conteggio degli ordini) da un'entità Doctrine in memoria durante la validazione, mentre l'incremento effettivo dell'uso in OrderPromotionsUsageModifier avviene successivamente durante la finalizzazione dell'ordine — senza locking a livello di database o operazioni atomiche tra le due fasi. Poiché Doctrine effettua il flush di un valore assoluto (SET used = 1) anziché un incremento atomico (SET used = used + 1), e poiché gli enti interessati non prevedono locking ottimistico, le richieste concorrenti leggono tutti gli stessi valori obsoleti di utilizzo e superano contemporaneamente i controlli di eleggibilità. Un attaccante può sfruttare questa vulnerabilità preparando più carrelli con la stessa promozione o coupon a uso limitato e inviando richieste PATCH /api/v2/shop/orders/{token}/complete simultanee. Tutte le richieste superano i controlli di limite di utilizzo e vengono completate con successo, consentendo a una promozione o a un coupon a uso singolo di essere riscattati un numero arbitrario di volte. Il limite per cliente può essere aggirato nello stesso modo, completando più ordini contemporaneamente come lo stesso cliente. Non è richiesta autenticazione per sfruttare questa vulnerabilità. Ciò può portare a perdite finanziarie dirette attraverso il riscatto illimitato di promozioni e coupon sconto a uso limitato. Il problema è stato risolto nelle versioni: 1.9.12, 1.10.16, 1.11.17, 1.12.23, 1.13.15, 1.14.18, 2.0.16, 2.1.12, 2.2.3 e versioni successive.