یک آسیب‌پذیری منطقی (Logic Flaw) در نقطه پایانی (Endpoint) مربوط به Mollie Webhook شناسایی شده است که می‌تواند منجر به تکمیل غیرمجاز تراکنش‌های تجاری شود.
این نقص امنیتی در سیستم‌های مبتنی بر Craft Commerce رخ می‌دهد. در این سناریو، نقطه پایانی Mollie Webhook دو پارامتر مستقل و تحت کنترل مهاجم را دریافت می‌کند، اما هرگز بررسی نمی‌کند که آیا این دو پارامتر متعلق به یک تراکنش واحد هستند یا خیر:
- commerceTransactionHash: مشخص می‌کند کدام تراکنش در Craft Commerce تکمیل شود.
- id: مشخص می‌کند وضعیت کدام پرداخت در Mollie مورد استعلام قرار گیرد.
یک مهاجم احراز هویت نشده (Unauthenticated Attacker) که به یک شناسه پرداخت معتبر در حساب فروشنده دسترسی دارد، می‌تواند آن را با هر transaction hash دلخواهی ترکیب کند. در این حالت، سیستم با استعلام از Mollie، وضعیت پرداخت را status: paid دریافت کرده و تراکنش هدف را به صورت موفقیت‌آمیز علامت‌گذاری می‌کند.
