CVE-2026-76842 in Mercado Pago
Сводка
по VulDB • 24.08.2026
В SDK для Node.js от Mercado Pago идентификаторы, предоставляемые вызывающей стороной, интерполируются в пути API-запросов без их процентного кодирования (percent-encoding), поэтому символы, имеющие структурное значение в URL, сохраняются в исходящем запросе. Клиенты payment (get, capture, cancel), paymentRefund (create, total, list, get), advancedPayment (get, capture, cancel, update, updateReleaseDate) и disbursementRefund (create, createAll, listAll) формируют свой путь с использованием шаблонных строк (template literals), например: `RestClient.fetch(\`/v1/payments/${id}\`, ...)` в файле src/clients/payment/get/index.ts. Последовательность из двух точек или слэша в идентификаторе нормализуется парсером WHATWG URL и перенаправляет запрос на другой конечный пункт, а знак вопроса добавляет параметры запроса, выбранные злоумышленником; в обоих случаях передается собственный токен доступа мерчанта. Приложение, которое передает идентификатор, находящийся под влиянием недоверенной стороны, в один из этих методов без проверки права собственности (ownership check), тем самым позволяет этой стороне получать доступ к другим ресурсам в пределах области действия токена мерчанта. В репозитории уже существует предусмотренный вспомогательный метод encodePathParam в файле src/utils/path.ts, который был применен в пул-реквесте 451 примерно к 29 другим клиентам, оставив эти методы без изменений.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.