CVE-2026-76842 in Mercado Pago
Sumário
de VulDB • 24/08/2026
O SDK Node.js do Mercado Pago interpola identificadores fornecidos pelo chamador nos caminhos das requisições de API sem codificá-los com percentagem (percent-encoding), fazendo com que caracteres estruturais em uma URL sobrevivam na requisição enviada. Os clientes de pagamento (get, capture, cancel), paymentRefund (create, total, list, get), advancedPayment (get, capture, cancel, update, updateReleaseDate) e disbursementRefund (create, createAll, listAll) constroem seu caminho como um template literal, por exemplo `RestClient.fetch(\`/v1/payments/${id}\`, ...)` em src/clients/payment/get/index.ts. Uma sequência de ponto-ponto ou barra no identificador é normalizada pelo analisador URL WHATWG e redireciona a requisição para um endpoint diferente, enquanto um ponto de interrogação anexa parâmetros de consulta escolhidos pelo atacante; em ambos os casos, o token de acesso do comerciante é carregado. Um aplicativo que encaminha um identificador influenciado por uma parte não confiável para um desses métodos sem uma verificação de propriedade permite, portanto, que essa parte acesse outros recursos dentro do escopo do token do comerciante. O repositório já contém o helper pretendido, encodePathParam em src/utils/path.ts, que foi aplicado à PR 451 em aproximadamente mais 29 clientes, deixando estes inalterados.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.