PT-2026-35034 · Go+4 · Github.Com/Quantumnous/New-Api+2

Changeyu0229

·

CVE-2026-41432

·

Publicado

2026-04-24

·

Atualizado

2026-07-30

CVSS v3.1

8.2

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L
Nome do Software Vulnerável e Versões Afetadas New API versões anteriores a 0.12.10
Descrição Uma falha no manipulador de webhook do Stripe permite que atacantes não autenticados forjem eventos de webhook e creditem cotas arbitrárias em suas contas sem realizar pagamentos. Isso é causado por três problemas: o sistema não rejeita solicitações quando o StripeWebhookSecret está vazio (padrão), permitindo que atacantes computem assinaturas válidas; o manipulador sessionCompleted não verifica se o payment status está definido como paid; e a função Recharge() não valida se o PaymentMethod do pedido corresponde à fonte de retorno, permitindo a exploração entre gateways, onde pedidos de outros métodos de pagamento podem ser liquidados via um webhook do Stripe forjado.
Detalhes técnicos incluem:
  • Endpoint da API: '/api/stripe/webhook'
  • Variáveis Vulneráveis: StripeWebhookSecret
  • Funções Vulneráveis: StripeWebhook(), sessionCompleted() e Recharge()
Recomendações Atualize para a versão 0.12.10. Como solução temporária, defina o StripeWebhookSecret para qualquer valor não vazio no painel de administração. Se o Stripe não for utilizado, bloqueie o acesso ao endpoint '/api/stripe/webhook' usando um proxy reverso.

Exploit

Correção

Insufficient Verification of Data Authenticity

Incorrect Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-345CWE-863CWE-1188

Identificadores relacionados

CVE-2026-41432
GHSA-XFF3-5C9P-2MR4
GO-2026-5753
OPENSUSE-SU-2026:21483-1

Produtos afetados

Github.Com/Quantumnous/New-Api
Govulncheck-Vulndb
New Api