CVE-2026-33661 in pay
Zusammenfassung
von VulDB • 10.05.2026
Pay ist ein Open-Source-Payment-SDK-Erweiterungspaket für verschiedene chinesische Zahlungsdienste. Vor Version 3.7.20 überspringt die Funktion `verify_wechat_sign()` in `src/Functions.php` bedingungslos alle Signaturüberprüfungen, wenn die PSR-7-Anfrage `localhost` als Host meldet. Ein Angreifer kann dies ausnutzen, indem er eine manipulierte HTTP-Anfrage an den WeChat Pay Callback-Endpunkt mit einem `Host: localhost`-Header sendet, wodurch die RSA-Signaturprüfung vollständig umgangen wird. Dies ermöglicht das Fälschen falscher WeChat Pay-Zahlungserfolgsbenachrichtigungen, was dazu führen kann, dass Anwendungen Bestellungen als bezahlt markieren, ohne dass eine tatsächliche Zahlung erfolgt ist. Version 3.7.20 behebt das Problem.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.