CVE-2026-115937
Açıklama
Mollie webhook uç noktası, saldırgan tarafından kontrol edilen iki bağımsız parametreyi kabul eder ve bunların birbirine ait olduğunu hiçbir zaman doğrulamaz: * commerceTransactionHash — hangi Craft Commerce işleminin tamamlanacağını seçer * id — durumunun sorgulanacağı hangi Mollie ödemesinin seçileceğini belirler Satıcının hesabından herhangi bir ücretli Mollie ödeme kimliğine sahip olan kimliği doğrulanmamış bir saldırgan, bunu herhangi bir işlem karmasıyla eşleştirebilir. Commerce, Mollie'ye sorgu gönderir, status: paid değerini görür ve gerçekte ne kadar ödendiğine bakılmaksızın hedef işlemi o işlemin tam tutarı için başarılı olarak işaretler.
Nasıl düzeltilir
- craftcms commerce-mollie4.4.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms commerce-mollie | 2.1.1 ≤ v < 4.4.3 | 4.4.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.