ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تضمن منتج Munshi (المقدم من Petpooja) في الإصدارات السابقة لـ 2026-06-30 ثغرة تجاوز الدفع في نقطة نهاية Webhook لدفع الاشتراكات على المسار POST /api/payment/order/webhook، والتي تفتقر إلى مصادقة Webhook والتحقق من التوقيع المشفر والتحقق من المصدر والتأكيد المستقل من جانب الخادم مع مزود الدفع. يمكن لمهاجم عن بُعد ودون مصادقة إرسال إشعار نجاح دفع مزيف يشير إلى طلب تم الحصول عليه من عنوان URL الخاص بإعادة توجيه حالة الدفع، مما يتسبب في قيام الخلفية بتحديد الاشتراك على أنه مدفوع أو نشط ومنح الوصول المدفوع دون عملية دفع ناجحة فعلية.