CVE-2026-76842

Mercado Pago Node.js SDK çağırıcı tərəfindən təmin edilən identifikatorları faiz kodlamasından (percent-encoding) keçirmədən API sorğu yollarına daxil edir, buna görə də URL üçün struktur xarakterli olan simvollar çıxan sorğuda qalır. Payment (get, capture, cancel), paymentRefund (create, total, list, get), advancedPayment (get, capture, cancel, update, updateReleaseDate) və disbursementRefund (create, createAll, listAll) kliyentləri öz yollarını şablon literal kimi qurur, məsələn, src/clients/payment/get/index.ts faylında RestClient.fetch(`/v1/payments/${id}`, ...). İdentifikatordakı nöqtə-nöqtə və ya slash ardıcıllığı WHATWG URL parseri tərəfindən normallaşdırılır və sorğunu fərqli bir son nöqtəyə (endpoint) yönləndirir, sual işarəsi isə hücumçunun seçdiyi sorğu parametrlərini əlavə edir; hər iki halda satıcının öz giriş tokeni ötürülür. Etibarsız tərəf tərəfindən təsir edilmiş identifikatoru mülkiyyət yoxlaması aparmadan bu metodlardan birinə ötürən tətbiq, həmin tərəfin satıcının token əhatəsindəki digər resurslara çatmasına şərait yaradır. Repozitoriya artıq nəzərdə tutulmuş köməkçi funksiyanı — src/utils/path.ts faylındakı encodePathParam funksiyasını ehtiva edir ki, 451 nömrəli pull request bu funksiyanı təxminən 29 digər kliyentə tətbiq etmiş, lakin bunları dəyişdirilməmiş saxlamışdır.