7Megaumka7

تفتقر نقطة نهاية «invoice/update» في واجهة برمجة تطبيقات الضيف (Guest API) إلى فحص المصادقة. وهذا يسمح لمستخدم غير مصدق عليه يمتلك تجزئة فاتورة بتعديل بوابة الدفع الخاصة بفاتورة غير مدفوعة عن طريق تغيير المتغير `gateway id` إلى أي بوابة دفع تم تكوينها مسبقًا في النظام. قد يتم الكشف عن تجزئات الفواتير من خلال روابط البريد الإلكتروني أو رؤوس المراجع أو عناوين URL المشتركة. ويكون التأثير محدودًا بفضل إعداد النظام `invoice accessible from hash` وشرط أن تكون البوابة قد تم تثبيتها مسبقًا بواسطة مسؤول النظام.

عندما يكون سجل `ClientPasswordReset` موجودًا بالفعل لعميل ما نتيجة لطلب سابق لم تنتهِ صلاحيته بعد، فإن الاستدعاءات اللاحقة لنقطة نهاية واجهة برمجة التطبيقات (API) للضيوف `reset password` تعيد استخدام الرمز المميز الموجود بدلاً من إنشاء رمز جديد. تعتمد فترة الصلاحية البالغة 15 دقيقة على الطابع الزمني `created at` للطلب الأول بدلاً من أحدث رسالة بريد إلكتروني. وهذا يسمح للمهاجم الذي حصل على رابط إعادة التعيين الأصلي باستخدامه حتى بعد أن يطلب الضحية إعادة تعيين جديدة، حيث إن الرمز الأصلي لا يتم إبطال صلاحيته أو استبداله.

يمكن الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) الخاصة بالضيف `serviceapikey/get info` دون مصادقة. يمكن للمهاجم الذي يمتلك مفتاح API صالحًا استرداد جميع معلمات التكوين المخصصة، وتحديدًا الحقول `custom *`، المخزنة في سجل قاعدة البيانات المرتبط بهذا المفتاح. تدير الإدارة هذه الحقول وقد تحتوي على معلومات تجارية حساسة، بما في ذلك مستويات التسعير، وعلامات الميزات، وحدود المعدلات، وتجاوزات انتهاء الصلاحية، أو بيانات نطاق الوصول.