CVE-2026-115937

Nome do Software Vulnerável e Versões Afetadas Craft Commerce (versões afetadas não especificadas)

Descrição O endpoint de webhook do Mollie permite que um invasor não autenticado marque um pedido não pago como totalmente pago. Isso ocorre porque o endpoint aceita dois parâmetros independentes controlados pelo invasor sem verificar a associação entre eles: commerceTransactionHash, que seleciona a transação do Craft Commerce a ser concluída, e id, que seleciona o pagamento do Mollie usado para consultar o status. Um invasor que possua qualquer ID de pagamento pago do Mollie da conta do comerciante pode associá-lo a qualquer hash de transação. Consequentemente, o sistema consulta o Mollie, confirma o status de pago e marca a transação alvo como bem-sucedida pelo valor total, independentemente do valor realmente pago.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.