commerce-mollie 認証なしで未払い注文が支払い済みになる
Summary
commerce-mollie の Mollie webhook エンドポイントでは、取引と決済IDの対応が検証されません。認証なしの攻撃者が、加盟店の支払い済み Mollie 決済IDを別の取引に組み合わせると、未払いの注文が全額支払い済みとして処理される可能性があります。影響を受けるのは 2.1.1 以上 4.4.3 未満で、修正版は 4.4.3 です。速やかに 4.4.3 以降へ更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
commerce-mollie の Mollie webhook エンドポイントでは、取引と決済IDの対応が検証されません。認証なしの攻撃者が、加盟店の支払い済み Mollie 決済IDを別の取引に組み合わせると、未払いの注文が全額支払い済みとして処理される可能性があります。影響を受けるのは 2.1.1 以上 4.4.3 未満で、修正版は 4.4.3 です。速やかに 4.4.3 以降へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| craftcms | commerce-mollie |
≥ 2.1.1, < 4.4.3 |
4.4.3 |
Original description The description as published by the source.
The Mollie webhook endpoint accepts two independent, attacker-controlled parameters and never verifies that they belong together:
- commerceTransactionHash — selects which Craft Commerce transaction is completed
- id — selects which Mollie payment is queried for its status
An unauthenticated attacker holding any paid Mollie payment ID from the merchant’s account can pair it with any transaction hash.
Commerce queries Mollie, sees status: paid, and marks the target transaction successful for that transaction’s full
amount, regardless of how much was actually paid.
Source: CVE.org (CVE Program・cvelistV5) NVD
References
- web hckrt.com
- web github.com
- web github.com
- web github.com