commerce-mollie 認証なしで未払い注文が支払い済みになる
概要
commerce-mollie の Mollie webhook エンドポイントでは、取引と決済IDの対応が検証されません。認証なしの攻撃者が、加盟店の支払い済み Mollie 決済IDを別の取引に組み合わせると、未払いの注文が全額支払い済みとして処理される可能性があります。影響を受けるのは 2.1.1 以上 4.4.3 未満で、修正版は 4.4.3 です。速やかに 4.4.3 以降へ更新してください。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
commerce-mollie の Mollie webhook エンドポイントでは、取引と決済IDの対応が検証されません。認証なしの攻撃者が、加盟店の支払い済み Mollie 決済IDを別の取引に組み合わせると、未払いの注文が全額支払い済みとして処理される可能性があります。影響を受けるのは 2.1.1 以上 4.4.3 未満で、修正版は 4.4.3 です。速やかに 4.4.3 以降へ更新してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| craftcms | commerce-mollie |
2.1.1 以上 4.4.3 未満 |
4.4.3 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Mollie webhook endpoint accepts two independent, attacker-controlled parameters and never verifies that they belong together:
- commerceTransactionHash — selects which Craft Commerce transaction is completed
- id — selects which Mollie payment is queried for its status
An unauthenticated attacker holding any paid Mollie payment ID from the merchant’s account can pair it with any transaction hash.
Commerce queries Mollie, sees status: paid, and marks the target transaction successful for that transaction’s full
amount, regardless of how much was actually paid.
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web hckrt.com
- web github.com
- web github.com
- web github.com