PT-2026-44849 · Avideo · Authorize.Net+2
Proochicken
·
Publicado
2026-05-29
·
Atualizado
2026-06-04
·
CVE-2026-47696
CVSS v4.0
7.1
Alta
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
AVideo versões 29.0 e anteriores
Description
Um problema existe no endpoint 'plugin/AuthorizeNet/processPayment.json.php' que permite que qualquer usuário logado adicione fundos arbitrários à sua própria carteira quando os plugins AuthorizeNet e YPTWallet estão habilitados. O endpoint credita a carteira do usuário baseando-se apenas no parâmetro POST
amount controlado pelo atacante, sem validar qualquer transação do Authorize.Net, assinatura de webhook, token de pagamento hospedado, nonce ou registro de pagamento no servidor. Isso ocorre porque o endpoint define a variável $paymentSuccess como verdadeira (true) e chama a função addBalance() do plugin YPTWallet sem realizar a verificação real do pagamento.Recommendations
Para as versões 29.0 e anteriores, remova ou desabilite o arquivo 'plugin/AuthorizeNet/processPayment.json.php' se ele for obsoleto. Implemente a verificação de um ID de transação do Authorize.Net e a consulta do valor no servidor antes de chamar a função
addBalance(). Como medida de mitigação temporária, desabilite os plugins AuthorizeNet ou YPTWallet para evitar créditos não autorizados na carteira.Exploit
Correção
Insufficient Verification of Data Authenticity
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Avideo
Authorize.Net
Yptwallet