CVE-2026-76842 in Mercado Pago
요약
\~에 의해 VulDB • 2026. 08. 25.
Mercado Pago의 Node.js SDK는 호출자가 제공한 식별자를 API 요청 경로에 퍼센트 인코딩 없이 삽입하므로 URL에서 구조적인 역할을 하는 문자가 외부로 전송되는 요청에 그대로 포함됩니다. payment(get, capture, cancel), paymentRefund(create, total, list, get), advancedPayment(get, capture, cancel, update, updateReleaseDate) 및 disbursementRefund(create, createAll, listAll) 클라이언트는 src/clients/payment/get/index.ts의 `RestClient.fetch(\`/v1/payments/${id}\`, ...)`와 같이 경로를 템플릿 리터럴로 구성합니다. 식별자 내의 dot-dot(../) 또는 슬래시 시퀀스는 WHATWG URL 파서에서 정규화되어 요청을 다른 엔드포인트로 리디렉션하며, 물음표는 공격자가 선택한 쿼리 파라미터를 추가합니다. 두 경우 모두 상점의 자체 액세스 토큰이 함께 전달됩니다. 따라서 신뢰할 수 없는 당사자의 영향을 받은 식별자를 소유권 확인 없이 이러한 메서드 중 하나로 전달하는 애플리케이션은 해당 당사자로 하여금 상점의 토큰 범위 내 다른 리소스에 접근하도록 허용합니다. 저장소에는 이미 의도된 헬퍼인 `src/utils/path.ts`의 encodePathParam이 포함되어 있으며, 풀 리퀘스트 451은 이를 약 29개의 다른 클라이언트에 적용했지만 해당 클라이언트들은 변경되지 않았습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.