Evet hocam yanlış belirttim paymentId'nin sahte kullanımı Weepay API'si tarafından kontrol ediliyor. Ancak, dediğiniz gibi kodda orderId doğrulama eksikliği bulunuyor. POST'tan gelen orderId ile Weepay API'sinden dönen orderId karşılaştırılmadığı için, kötü niyetli bir kişi sahte bir orderId ile ödeme işlemini manipüle edebilir. Bu açığı kapatmak için, API'den gelen orderId ile POST'tan gelen orderId'yi karşılaştırarak yalnızca geçerli bir orderId ile işlem yapılmasını sağlanmalı. Weepay ekibine bunu bildirmeyi düşünebilirsiniz.