- Son 7 gün
- CWE-306
- CWE-345
CVE-2026-119731
Munshi (Petpooja) ödeme webhook uç noktasında kimlik doğrulamasız ödeme atlatma açığı
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, ödeme yapılmadan ücretli hizmetlere erişim sağlanmasına olanak tanıyabilir ve doğrudan gelir kaybına yol açabilir. Kimlik doğrulaması yapılmadan istismar edilebildiği için öncelikli olarak ele alınmalıdır. Yetkili satıcının güncellemesini hemen uygulamak ve ödeme kayıtlarını kontrol etmek gerekir.
ÖzetTürkçe
Petpooja tarafından geliştirilen Munshi uygulamasında, abonelik ödemelerini bildiren webhook uç noktasında kimlik doğrulama, imza doğrulaması ve ödeme sağlayıcısıyla bağımsız teyit mekanizması bulunmamaktadır. 2026-06-30 tarihine kadar olan sürümler etkilenmektedir. Saldırgan, ödeme durumu yönlendirme bağlantısından elde ettiği sipariş bilgisini kullanarak sahte bir ödeme başarılı bildirimi gönderebilmektedir.
Saldırgan ne yapabilir?
Saldırgan gerçek bir ödeme yapmadan aboneliği aktif hale getirip ücretli erişim elde edebilir. Sistemde veri sızıntısı ya da hizmet kesintisi bildirilmemiştir; temel etki bütünlük kaybıdır.
Kaynaktaki açıklama (İngilizce)
Munshi (by Petpooja) before 2026-06-30 contained a payment bypass vulnerability in its subscription payment webhook at POST /api/payment/order/webhook, which lacks webhook authentication, cryptographic signature verification, source validation, and independent server-side confirmation with the payment provider. A remote, unauthenticated attacker can submit a forged payment-success notification referencing an order obtained from the payment-status redirect URL, causing the backend to mark the subscription as paid/active and granting paid access without an actual successful payment.
Ne yapmalı?
- Petpooja tarafından yayınlanan düzeltilmiş sürüme hemen geçiş yapın; düzeltilmiş sürüm bilgisi veri içinde belirtilmemiştir, bu nedenle satıcının resmi duyurularını kontrol edin. Genel öneri
- Güncelleme uygulanana kadar ödeme webhook uç noktasına dış erişimi ağ düzeyinde kısıtlayın ya da ödeme sağlayıcısının bildirim adresleri dışındaki istekleri engelleyin. Genel öneri
- Son dönemde abonelik durumunu 'ödendi/aktif' olarak işaretlenen ancak karşılığında ödeme kaydı bulunmayan hesapları ödeme sağlayıcısı kayıtlarıyla karşılaştırarak inceleyin. Genel öneri
Ek önlemler
- Ödeme webhook isteklerinde sağlayıcının imza doğrulamasını zorunlu kılın ve imzası geçersiz istekleri reddedin. Genel öneri
- Abonelik durumunu yalnızca ödeme sağlayıcısının API'si üzerinden bağımsız olarak doğrulanmış işlemlere göre güncelleyin. Genel öneri
- Beklenmeyen abonelik aktivasyonları ve webhook isteklerindeki olağandışı artışlar için günlük kayıtlarını izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Petpooja Munshi | ≤ 2026-06-30 | – |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…nt-bypass-via-unauthenticated-webhook-endpoint Üçüncü taraf
- medium.com/…o-activate-an-unpaid-subscription-ce0806829fa4 İstismar kodu ya da analiz
- petpooja.com Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.