Решено Критическая уязвимость в виджете Donation - фейковое зачисление пожертвования | Решено

[Tsukuyonni]

Обнаружен баг в логике работы виджета донатов, позволяющий зафиксировать пожертвование без реального проведения платежа.

Шаги для воспроизведения:

1. Ввести любую сумму пополнения и выбрать платежную систему (например, cshost).
2. После автоматического перенаправления на страницу оплаты отменить транзакцию (не совершать платеж) и вернуться обратно на сайт.
3. В виджете появится предложение «Списать сейчас». При нажатии на кнопку система ошибочно регистрирует операцию как успешное пожертвование, несмотря на отсутствие фактической оплаты.

 

Решено  Обновление | Решено

Решено  Ошибка авторизации в админ-панели на 3.2.0.7: дублирование PHPSESSID

[Root]

@Tsukuyonni
Посмотрим
Но логика кнопки должна списать баланс именно с вашего сайта
Касса нужно только для пополнения баланса, потому что по другому ни как в любом случае посмотрим что не так

 

[Tsukuyonni]

Уточню момент: у меня на сайте включены только P2P-переводы и cshost для пожертвований.

При возврате обратно на сайт (без фактической оплаты на стороне cshost) виджет не проверяет статус платежа, а сразу предлагает списать эту сумму и засчитывает её в прогресс пожертвования.

То есть происходит фейковый сбор без реального поступления средств в кассу.

 

[Root]

Только что проверили ничего ложного нет.
При нажатии на метод оплаты вас перекидывает на пополнение CSHOST. Но это именно пополнение баланса сайта, так как оно и должно быть.
Для зачисления пожертвования там всё чётко указано. Скорее всего, у вас уже есть баланс и вы нажали Списать, потому что мы только что проверили на разных сценариях никаких фиктивных зачислений нет.
При выборе любого метода оплаты в донате вас направляет именно на пополнение вашего баланса сайта так и должно быть. Это не отдельное пополнение пожертвования.

 

[Tsukuyonni]

Спасибо за ответ! Теперь понял логику.

Я просто думал, что смысл виджета - это именно прямое получение реальных денежных средств на кассу или через P2P, а не списание с личного баланса пользователя, который он может спокойно накапливать за активность, открытие кейсов и прочие бонусы на сайте.

 

[Root]

Да, именно так.
Отследить именно такое зачисление будет крайне сложно. Но в дальнейшем, возможно, что-нибудь придумаем и реализуем.
Сейчас пока что работает именно так.

Тема будет помечена как решённая и перенесена в архив.