Sizce bu bir güvenlik açığı mı?

Merhaba hocalarım,

Kullandığım bir firmanın mağazasında iyizico alt yapısı ile ödeme alıyor. Direkt olarak iyziconun formunu kullanmak yerine basit düzeyde bootstrap kullanarak form oluşturulmuş. Buraya kadar herhangi bir sıkıntı yok.

Fakat form kısmında ödemesi gereken tutar kısmınıda input halinde yapılmış. Yani bir ürün için ödemesi gereken tutarı kolayca değiştirebiliyorsunuz. Mesela ürün 300TL ise ben 3TL yapıp ödemeye yaptığımda hangi kartım ile yapılmışsa karta ait banka bana 3TL için sms onayı gönderiyor ve iyzico kısmında olan son onay sayfasında sms ile gelen şifreyi girdikten sonra işlem onaylandı ibaresi çıkıyor. Fakat sistem ödediğiniz tutar ile ürün fiyatı tutarsız gibi bir uyarı verip anasayfaya atıyor. (Kartımdan para çekilmiyor.)

Umarım anlatabilmişimdir bu şekilde bir güvenlik açığına sebep olur mu? Yoksa olması gereken böyle mi?

sondaki uyarıyı vermeyip onaylasaydı güvenlik açığı olurdu.

Peki hocam tutar bölümünü değiştirebildiğimiz için tutar kısmını eksi bir değer girsek (mesela -5 gibi) ödeme yapmaya çalışsak iyzico tarafından bir sorun olmaz mı? Sürekli olarak geçersiz işlem göndersek iyzico güvenlik amacı sunduğu apiyi askıya alma durumu olur mu? Bilmiyorum belki çok yanlış düşünüyorumdur

çok sayıda request göndersen bu şekilde arka planda SOC ekibine alarm oluşturur muhtemelen geçersiz işlemler için korelasyonları vardır. Gün sonunda firmayı uyarırlar yazılım tarafında önlem alınır. Yazılım tarafı düzeltene kadarda senin gönderdiğin request sayısı onların tarafta problem oluşturuyorsa SOC ekibi de bi önlem alır. Tahminimce API yi askıya alma son önlem olur öncesinde en basit senin ip ni bloklar. Burda müşterinin iyzico için ne kadar önemli müşteri olduğuda önemli. Ciro su filan çok düşükse belki diren API yi kapatırlar, ama çok önemli müşteri ise çok hızlı önlem - bilgilendirmeler olur

Cevaplarınız için çok teşekkürler hocam 🙏 Ben firmaya bir mail göndererek olayı anlatırım önlem alınması gerekirse alırlar diye düşünüyorum. Belki de durumda haberleri vardır.

Güvenlik açığı değil ama mantıklı bir şey de değil.

Yazılımsal en ufak hata bir bulgudur ve tehlikeye açıktır eğer iyzico yerine kendi poslarını kullanmış olsalardı belirtilen ücreti kabul edecektir.