CVE-2026-105218
Beschrijving NL
gopay vóór 1.5.119 schakelt TLS-certificaatverificatie uit in defaultClient () in pkg/xhttp/client.go, waardoor man-in-the-middle-aanvallers zich kunnen voordoen als API's van betalingsproviders. Aanvallers kunnen elk certificaat presenteren om de inloggegevens, handtekeningen en transactiegegevens van de verkoper te lezen en de antwoorden op betalingen, terugbetalingen en bestellingen te wijzigen.
Origineel (Engels) tonen
gopay before 1.5.119 disables TLS certificate verification in defaultClient() in pkg/xhttp/client.go, allowing man-in-the-middle attackers to impersonate payment provider APIs. Attackers can present any certificate to read merchant credentials, signatures and transaction data, and modify payment, refund and order query responses.