mews/pos حتى الإصدار 2.0.0: غياب التحقق من التجزئة في استدعاءات 3D Pay و 3D Host

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تتضمن حزمة mews/pos حتى الإصدار 2.0.0 ثغرة تحقق غير كافي من أصالة البيانات تسمح للمهاجمين دون مصادقة بتزوير نتائج الدفع عن طريق إرسال استدعاءات رجعية غير متحقق منها. تتخطى معالجات GarantiPos و PayForPos و InterPos لـ 3D Pay و 3D Host دالة check3DHash()، مما يتيح للمهاجمين إرسال حقول حالة أو مبلغ أو معرف طلب تلاعبوا بها لإتمام الطلبات دون دفع.

المعالجة

1. أحصِ جميع نشرات mewebstudio pos، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تصحيحhttps://github.com/mewebstudio/pos/commit/7c59d42bc49483c7c54999d757cb67055d9f732a
• تصحيحhttps://github.com/mewebstudio/pos/pull/305
• تحذيرhttps://www.vulncheck.com/advisories/mews-pos-through-2.0.0-missing-hash-verification-in-3d-pay-and-3d-host-callbacks
• مرجعhttps://github.com/mewebstudio/pos
• مرجعhttps://github.com/mewebstudio/pos/blob/50ed2bfe4f8980b8b0c47996de571943fa58d7ad/src/Gateway/InterPos.php#L134-L149
• مرجعhttps://github.com/mewebstudio/pos/blob/50ed2bfe4f8980b8b0c47996de571943fa58d7ad/src/Gateway/PayForPos.php#L135-L150
• مرجعhttps://github.com/mewebstudio/pos/issues/306