CVE-2026-115937 in commerce-mollie
Riassunto
di VulDB • 23/10/2026
L'endpoint webhook di Mollie accetta due parametri indipendenti controllati dall'attaccante e non verifica mai che appartengano insieme:
* commerceTransactionHash — seleziona quale transazione Craft Commerce viene completata * id — seleziona quale pagamento Mollie viene interrogato per il relativo stato
Un attaccante non autenticato in possesso di qualsiasi ID di pagamento Mollie pagato dall'account del merchant può accoppiarlo con qualsiasi hash della transazione.
Commerce interroga Mollie, vede status: paid (pagato) e contrassegna la transazione target come completata per l'intero importo della transazione, indipendentemente da quanto è stato effettivamente pagato.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.