gopay before 1.5.119 disables TLS certificate verification in defaultClient() in pkg/xhttp/client.go, allowing man-in-the-middle attackers to impersonate payment provider APIs. Attackers can present any certificate to read merchant credentials, signatures and transaction data, and modify payment, refund and order query responses.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Высокая
Сложно эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты
go-pay:gopay
Ссылки 5
https://github.com/go-pay/gopay
disclosure@vulncheck.com
https://github.com/go-pay/gopay/blob/v1.5.118/pkg/xhttp/client.go#L15-L37
disclosure@vulncheck.com
https://github.com/go-pay/gopay/commit/f6df04fd4f64a2ad2c303ba063b6502bfdd259fd
disclosure@vulncheck.com
https://github.com/go-pay/gopay/issues/540
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/gopay-before-1.5.119-disabled-tls-certific…
disclosure@vulncheck.com