CVE-2026-76842 in Mercado Pago
Zusammenfassung
von VulDB • 24.08.2026
Die Mercado Pago Node.js SDK interpoliert vom Aufrufer bereitgestellte Bezeichner in API-Anforderungspfade, ohne sie zu percent-encodieren (URL-Kodierung), sodass Zeichen, die strukturell für eine URL sind, in die ausgehende Anfrage gelangen. Die Clients payment (get, capture, cancel), paymentRefund (create, total, list, get), advancedPayment (get, capture, cancel, update, updateReleaseDate) und disbursementRefund (create, createAll, listAll) erstellen ihren Pfad als Template-Literal, beispielsweise `RestClient.fetch(\`/v1/payments/${id}\`, ...)` in src/clients/payment/get/index.ts. Eine Sequenz aus zwei Punkten oder einem Schrägstrich im Bezeichner wird vom WHATWG-URL-Parser normalisiert und leitet die Anfrage zu einem anderen Endpunkt um, während ein Fragezeichen angreiferdefinierte Query-Parameter anhängt; in beiden Fällen wird das eigene Zugriffstoken des Händlers mitgetragen. Eine Anwendung, die einen von einer nicht vertrauenswürdigen Partei beeinflussten Bezeichner ohne Ownership-Prüfung (Eigentumsprüfung) an eine dieser Methoden weiterleitet, ermöglicht es dieser Partei daher, auf andere Ressourcen innerhalb des Token-Umfangs des Händlers zuzugreifen. Das Repository enthält bereits den vorgesehenen Hilfsfunktion encodePathParam in src/utils/path.ts, die Pull Request 451 auf etwa 29 weitere Clients angewendet hat, während diese hier unverändert blieben.
Once again VulDB remains the best source for vulnerability data.