關(guān)鍵詞

漏洞

經(jīng)營 API 中轉(zhuǎn)站業(yè)務(wù)的站長請注意：New-API 項目日前出現(xiàn)高危漏洞，借助漏洞可以偽造任意金額充值，使用該項目搭建的 API 中轉(zhuǎn)站應(yīng)當(dāng)立即升級到最新版。

新版本已經(jīng)調(diào)整 Stripe 異步支付事件和 Webhook 驗簽邏輯，升級到新版本后增加顯式判斷，如果沒有配置 Stripe 簽名密鑰，則嘗試發(fā)起支付時會直接返回 403 并終止處理。

漏洞描述如下 (根據(jù)代碼變更推測)：

在啟用 Stripe 充值并且 Webhook 路由可以被外部訪問的情況下，原本 Webhook 應(yīng)該靠 StripeWebhookSecret 校驗簽名，但如果 secret 為空，舊代碼仍然會嘗試進(jìn)行驗簽，正常情況下應(yīng)該直接拒絕驗簽。

這意味著簽名校驗的安全邊界失效，最壞的情況下攻擊者可以偽造 Stripe 支付事件，讓系統(tǒng)誤以為已經(jīng)成功支付并計入余額。

Stripe Webhook 的核心作用在于讓平臺在用戶完成付款、付款失敗或者異步支付到賬時，自動接受 Stripe 發(fā)送的事件通知并完成后續(xù)操作，這些通知必須依賴 Stripe 簽名與服務(wù)端保存的簽名密鑰完成驗簽，確保請求確實來自 Stripe 而不是偽造流量。

新版本封堵相關(guān)缺陷：

在最新發(fā)布的 New-API v0.12.10 版中，開發(fā)者已經(jīng)將這個缺陷修復(fù)，在開啟 Stripe 支付但并未配置密鑰時，系統(tǒng)會直接返回 403 來終止處理。

對使用 New-API 的項目來說當(dāng)前需要立即升級到最新版本，同時檢查 Webhook 是否存在暴露的情況，如有需要還應(yīng)當(dāng)檢查近期的支付訂單是否存在異常。

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！