CVE-2026-115937

اسم البرنامج المصاب والإصدارات المتأثرة Craft Commerce (إصدارات متأثرة غير محددة)

الوصف يسمح نقطة نهاية (endpoint) الويب هوك الخاصة بـ Mollie لمهاجم غير مصرح له بتحديد طلب غير مدفوع على أنه مدفوع بالكامل. يحدث هذا لأن نقطة النهاية تقبل معلمين مستقلين يتحكم فيهما المهاجم دون التحقق من ارتباطهما: commerceTransactionHash الذي يحدد معاملة Craft Commerce المراد إكمالها، و id الذي يحدد دفعة Mollie المستخدمة للاستعلام عن الحالة. يمكن للمهاجم الذي يمتلك أي معرف دفعة مدفوعة من حساب التاجر في Mollie ربطه بأي هاش معاملة. وبناءً على ذلك، يقوم النظام بالاستعلام من Mollie، ويؤكد حالة الدفع، ويحدد المعاملة المستهدفة على أنها ناجحة بكامل مبلغها، بغض النظر عن المبلغ الذي تم دفعه فعلياً.

التوصيات في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.