CVE-2026-111607
WysokieCVSS 7.1Streszczenie
Jeepay do wersji 3.2.9 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom-merchantom nadpisać konfigurację kanału płatności innej aplikacji merchanta, podając identyfikator infoId ofiary do MchPayInterfaceConfigController.saveOrUpdate. Atakujący posiadający domyślne uprawnienie ENT_MCH_PAY_CONFIG_ADD może zastąpić klucze podpisu, certyfikaty i stawki opłat, aby zakłócić lub przekierować przetwarzanie płatności ofiary.
Ocena ryzyka
Atakujący może przejąć lub zakłócić przepływ płatności innego merchanta, podmieniając klucze i certyfikaty, co prowadzi do strat finansowych i naruszenia integralności transakcji. Może to również skutkować przekierowaniem środków do atakującego.
Rekomendacja
Zaktualizuj Jeepay do wersji nowszej niż 3.2.9, jeśli jest dostępna, lub ogranicz uprawnienie ENT_MCH_PAY_CONFIG_ADD. Wprowadź weryfikację własności zasobu (infoId) przed zapisem konfiguracji kanału płatności.
Inne podatności w Jeepay
Zobacz wszystkie- CVE-2026-111608Średnie
Jeepay do wersji 3.2.9 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR), która pozwala uwierzytelnionym użytkownikom-merchantom usuwać odbiorców podziału prowizji innych merchantów poprzez wykorzystanie błędnej kolumny w kontroli własności. Atakujący posiadający uprawnienie ENT_DIVISION_RECEIVER_DELETE i grupę odbiorców o identyfikatorze zgodnym z identyfikatorem ofiary może usunąć odbiorcę podziału zysków ofiary.
- CVE-2026-18631Średnie
Podatność w jeequan jeepay do wersji 3.2.9 włącznie, dotycząca funkcji WebSecurityConfig w pliku jeepay-manager/src/main/java/com/jeequan/jeepay/mgr/ctrl/sysuser/SysLogController.java w komponencie PreAuthorize Handler, prowadzi do obejścia autoryzacji. Atak może być zainicjowany zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
Jeepay through 3.2.9 contains an insecure direct object reference vulnerability that allows authenticated merchant users to overwrite another merchant application's payment channel configuration by supplying a victim infoId to MchPayInterfaceConfigController.saveOrUpdate. Attackers holding the default ENT_MCH_PAY_CONFIG_ADD permission can replace signing keys, certificates, and fee rates to break or redirect the victim merchant's payment processing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS