PHP BİLENLER Weepay Woocommerce Eklentisinde Açık Var Sanırım

Question

Bir sisteme weepay sanal pos kodlarken woocommerce eklentilerinden kopya çekeyim dedim entegrasyon açıklamaları yeterli gelmeyince ama şunu fark ettim.
Callback kısmında hash kontrolü yok weepayde, ödemeyi onların tarafında oluşturulan id ile doğruluyoruz. Woocommerce kodlarında paymentId yi post ile çekip doğrulamışlar ama orderId yi de hiç doğrulamadan post içinden alıp eğer ödeme gerçekleştiyse başarılı yapıyorlar.
yani şu şekilde şöyle bir açık oluşabilir diye düşündüm. 200 tllik ürün aldım ve callback kısmında post içinde ki değerleri kopyaladım sadece orderId yi 5000 liralık siparişimin idsi olarak değiştirdim postu tekrar gönderdim o üründe ben ödeme yapmadan tamamlanmış olacak.
çünkü arkaplanda sadece paymentId yi kontrol ederek ödenmiş mi diye kontrol ediyor, o paymentId de ki orderId yi çekmiyor veya karşılaştırmıyor.

hash tarzı bir kontrol olmadığı için order id değişseydi hash uyuşmayacaktı.
GetOrderData fonksiyonuna paymentId yanına birde orderId eklenerek apiye istek gönderse düzelir sanırım ya da kodlar içinde apiden gelen order id ile işlemlere devam etse.

eğer ben gözümden bir yer kaçırdıysam ya da açık yoksa konuyu sileceğim

https://weepay.co/Entegrasyon/HazirM...merce#moduller
eklentiyi buradan indirdim tam kontrol etmek isteyen olursa

kod


Spoiler Göster

public function check_weepay_response()
{

global $woocommerce;

try {
$paymentStatus = wc_clean($_POST&#91;'paymentStatus'&#93;);
if ($paymentStatus == true) {
$orderId = wc_clean($_POST&#91;'orderId'&#93;);
$order = new WC_Order($orderId);
$paymentId = wc_clean($_POST&#91;'paymentId'&#93;);
$Result = $this->GetOrderData($paymentId);
$installment = $Result->data->installement;
if ($Result->paymentStatus == 'SUCCESS') {
if ($installment > 1) {
$order_amount = $order->get_total();
$order_amount = round($order_amount, 2);
$installment_fee = $Result->data->price - $order_amount;
$order_fee = new stdClass();
$order_fee->id = 'Installment Fee';
$order_fee->name = __('Installment Fee', 'weepay-payment');
$order_fee->amount = $installment_fee;
$order_fee->taxable = false;
$order_fee->tax = 0;
$order_fee->tax_data = array();
$order_fee->tax_class = '';
$fee_id = $order->add_fee($order_fee);
$order->calculate_totals(true);
update_post_meta($order_id, 'weepay_installment_number', esc_sql($installment));
update_post_meta($order_id, 'weepay_installment_fee', $installment_fee);
}

$orderMessage = 'Payment ID: ' . $paymentId;
$order->add_order_note($orderMessage, 0, true);
$order->payment_complete();
WC()->cart->empty_cart();
$woocommerce->cart->empty_cart();

$checkoutOrderUrl = $order->get_checkout_order_received_url();

$redirectUrl = add_query_arg(array('msg' => 'Thank You', 'type' => 'woocommerce-message'), $checkoutOrderUrl);
return wp_redirect($redirectUrl);
} else {

$errorMessage = 'FAILURE';
throw new &#92;Exception($errorMessage);
}
} else if (isset($_POST&#91;'message'&#93;)) {
$message = sanitize_text_field($_POST&#91;'message'&#93;);
$errorMessage = isset($message) ? $requestResponse->errorMessage : 'Failed';
throw new &#92;Exception($errorMessage);

}

} catch (&#92;Exception $th) {
$message = $th->getMessage();
$message = sanitize_text_field($_POST&#91;'message'&#93;);
$message = !empty($message) ? $message : "Invalid Request";
$order = new WC_Order($_POST&#91;'orderId'&#93;);
$order->update_status('failed', sprintf(__('weepay payment failed', 'weepay-payment'), $message));
$order->add_order_note($message, 0, true);
wc_add_notice(__($message, 'weepay-payment'), 'error');
$redirectUrl = $woocommerce->cart->get_cart_url();
return wp_redirect($redirectUrl);
}

}

function GetOrderData($id_order)
{
$weepayArray = array();
$weepayArray&#91;'Auth'&#93; = array(
'bayiId' => $this->weepay_payment_bayi_id,
'apiKey' => $this->weepay_payment_bayi_api,
'secretKey' => $this->weepay_payment_bayi_secret,
);
$weepayArray&#91;'Data'&#93; = array(
'paymentId' => $id_order,
);
$weepayEndPoint = "https://api.weepay.co/GetPayment/Detail";
return json_decode($this->curlPostExt(json_encode($weepayArray), $weepayEndPoint, true));
}

Saul4Goodmann · Answer

DOS adlı üyeden alıntı:						mesajı görüntüle									Wc_order ve wc_clean function'larınıda tam olarak atarsan orderId ile paymentId'e erişip eskiden ödenmiş olan order'ı sorgu ile ödenmemiş olarakmı sorguyu atıyor eğer öyleyse Order modeli Null dönecektir yine güvenliğe takılacaktır söylediğim 2 function'ı tam olarak atarsan oralardaki sorgu ve işlemleri kontrol edebiliriz tekrardan hiç sanmıyorum ama bu haliyle anlaşılmaz. 		wc_order veritabanı bağlantsını kuruyor girilen order id ile wc_clean ise şunu yapıyormuş

bahsettiğim açığın kontrolünü yapmıyorlar, bu fonksiyonların paymentId ile alakası ve erişimi yok bildiğim kadarıyla

tam olarak iletmiştim zaten buradan indirebilirsin https://weepay.co/Entegrasyon/HazirM...merce#moduller

Saul4Goodmann · Answer

VelatErtach adlı üyeden alıntı:						mesajı görüntüle									function GetOrderData($id_order)
{
$weepayArray = array();
$weepayArray['Auth'] = array(
'bayiId' => $this->weepay_payment_bayi_id,
'apiKey' => $this->weepay_payment_bayi_api,
'secretKey' => $this->weepay_payment_bayi_secret,
);
$weepayArray['Data'] = array(
'paymentId' => $id_order,
);

eğer dediğin yer burasıysa burada secret veriyor işte 		secret key değil hocam order id den bahsediyoruz kod şöyle olmalı yani

function GetOrderData($id_order, $orderId)
{
$weepayArray = array();
$weepayArray&#91;'Auth'&#93; = array(
'bayiId' => $this->weepay_payment_bayi_id,
'apiKey' => $this->weepay_payment_bayi_api,
'secretKey' => $this->weepay_payment_bayi_secret,
);
$weepayArray&#91;'Data'&#93; = array(
'paymentId' => $id_order,
'orderId' => $orderId // Posttan gelen order id yi de göndermeli
);

VelatErtach · Answer

Saul4Goodmann adlı üyeden alıntı:						mesajı görüntüle									Bir sisteme weepay sanal pos kodlarken woocommerce eklentilerinden kopya çekeyim dedim entegrasyon açıklamaları yeterli gelmeyince ama şunu fark ettim.
Callback kısmında hash kontrolü yok weepayde, ödemeyi onların tarafında oluşturulan id ile doğruluyoruz. Woocommerce kodlarında paymentId yi post ile çekip doğrulamışlar ama orderId yi de hiç doğrulamadan post içinden alıp eğer ödeme gerçekleştiyse başarılı yapıyorlar.
yani şu şekilde şöyle bir açık oluşabilir diye düşündüm. 200 tllik ürün aldım ve callback kısmında post içinde ki değerleri kopyaladım sadece orderId yi 5000 liralık siparişimin idsi olarak değiştirdim postu tekrar gönderdim o üründe ben ödeme yapmadan tamamlanmış olacak.
çünkü arkaplanda sadece paymentId yi kontrol ederek ödenmiş mi diye kontrol ediyor, o paymentId de ki orderId yi çekmiyor veya karşılaştırmıyor.

hash tarzı bir kontrol olmadığı için order id değişseydi hash uyuşmayacaktı.
GetOrderData fonksiyonuna paymentId yanına birde orderId eklenerek apiye istek gönderse düzelir sanırım ya da kodlar içinde apiden gelen order id ile işlemlere devam etse.

eğer ben gözümden bir yer kaçırdıysam ya da açık yoksa konuyu sileceğim

https://weepay.co/Entegrasyon/HazirM...merce#moduller
eklentiyi buradan indirdim tam kontrol etmek isteyen olursa

kod


Spoiler Göster

public function check_weepay_response()
{

global $woocommerce;

try {
$paymentStatus = wc_clean($_POST&#91;'paymentStatus'&#93;);
if ($paymentStatus == true) {
$orderId = wc_clean($_POST&#91;'orderId'&#93;);
$order = new WC_Order($orderId);
$paymentId = wc_clean($_POST&#91;'paymentId'&#93;);
$Result = $this->GetOrderData($paymentId);
$installment = $Result->data->installement;
if ($Result->paymentStatus == 'SUCCESS') {
if ($installment > 1) {
$order_amount = $order->get_total();
$order_amount = round($order_amount, 2);
$installment_fee = $Result->data->price - $order_amount;
$order_fee = new stdClass();
$order_fee->id = 'Installment Fee';
$order_fee->name = __('Installment Fee', 'weepay-payment');
$order_fee->amount = $installment_fee;
$order_fee->taxable = false;
$order_fee->tax = 0;
$order_fee->tax_data = array();
$order_fee->tax_class = '';
$fee_id = $order->add_fee($order_fee);
$order->calculate_totals(true);
update_post_meta($order_id, 'weepay_installment_number', esc_sql($installment));
update_post_meta($order_id, 'weepay_installment_fee', $installment_fee);
}

$orderMessage = 'Payment ID: ' . $paymentId;
$order->add_order_note($orderMessage, 0, true);
$order->payment_complete();
WC()->cart->empty_cart();
$woocommerce->cart->empty_cart();

$checkoutOrderUrl = $order->get_checkout_order_received_url();

$redirectUrl = add_query_arg(array('msg' => 'Thank You', 'type' => 'woocommerce-message'), $checkoutOrderUrl);
return wp_redirect($redirectUrl);
} else {

$errorMessage = 'FAILURE';
throw new &#92;Exception($errorMessage);
}
} else if (isset($_POST&#91;'message'&#93;)) {
$message = sanitize_text_field($_POST&#91;'message'&#93;);
$errorMessage = isset($message) ? $requestResponse->errorMessage : 'Failed';
throw new &#92;Exception($errorMessage);

}

} catch (&#92;Exception $th) {
$message = $th->getMessage();
$message = sanitize_text_field($_POST&#91;'message'&#93;);
$message = !empty($message) ? $message : "Invalid Request";
$order = new WC_Order($_POST&#91;'orderId'&#93;);
$order->update_status('failed', sprintf(__('weepay payment failed', 'weepay-payment'), $message));
$order->add_order_note($message, 0, true);
wc_add_notice(__($message, 'weepay-payment'), 'error');
$redirectUrl = $woocommerce->cart->get_cart_url();
return wp_redirect($redirectUrl);
}

}

function GetOrderData($id_order)
{
$weepayArray = array();
$weepayArray&#91;'Auth'&#93; = array(
'bayiId' => $this->weepay_payment_bayi_id,
'apiKey' => $this->weepay_payment_bayi_api,
'secretKey' => $this->weepay_payment_bayi_secret,
);
$weepayArray&#91;'Data'&#93; = array(
'paymentId' => $id_order,
);
$weepayEndPoint = "https://api.weepay.co/GetPayment/Detail";
return json_decode($this->curlPostExt(json_encode($weepayArray), $weepayEndPoint, true));
}


 		function GetOrderData($id_order)
{
$weepayArray = array();
$weepayArray['Auth'] = array(
'bayiId' => $this->weepay_payment_bayi_id,
'apiKey' => $this->weepay_payment_bayi_api,
'secretKey' => $this->weepay_payment_bayi_secret,
);
$weepayArray['Data'] = array(
'paymentId' => $id_order,
);

eğer dediğin yer burasıysa burada secret veriyor işte

Saul4Goodmann · Answer

OguzhanLevent adlı üyeden alıntı:						mesajı görüntüle									Demek istediğinizi anladım hocam fakat

https://developer.weepay.co/api/oedeme-detayi

Burada ki sayfada request body içerisinde orderid ve paymentid gönderilmeli diyor, payment id değeri ile bu kontrol sağlanıyorsa evet güvenlik açığı mevcut. Siz öyle diyince kodları inceleyip bakayım dedim tekrardan  		dediğiniz gibi payment id ve order id birlikte gönderilirse istekte weepay kontrolünü sağlıyor heralde ama bu woocommerce eklentisinde sadece payment id gönderiyor ve gelen cevapta ki order id yi karşılaştırmıyor ya da onu kullanmıyor siparişi teslim etmek için

OguzhanLevent · Answer

iyovex adlı üyeden alıntı:						mesajı görüntüle									Weepay taraflı bir zarar bulunmamakta zaten.
Sadece site sahibine ödenmeyen siparişi ödendi gösterebilirsiniz Weepay'da ödenmediği belli olacaktır. 		Demek istediğinizi anladım hocam fakat

https://developer.weepay.co/api/oedeme-detayi

Burada ki sayfada request body içerisinde orderid ve paymentid gönderilmeli diyor, payment id değeri ile bu kontrol sağlanıyorsa evet güvenlik açığı mevcut. Siz öyle diyince kodları inceleyip bakayım dedim tekrardan

iyovex · Answer

OguzhanLevent adlı üyeden alıntı:						mesajı görüntüle									Eşleştirme muhtemelen weepay üzerinde yapılıyordur. Mantıken payment id oluşturulurken weepay ürün fiyat gibi temel bilgileri alır. Woo yapısını bilmiyorum fakat ödeme adımında sipariş oluşuyor ve ödeme bekleniyor konumunda kalıyorsa weepay onu da alıyordur muhtemelen.

sonuç olarak weepay e bir order_id veya cart_id gönderiyorsunuz weepay tarafında bu eşleşme yapılmazsa durum otomatik olarak false döner, adamlar bu kontrolü neden 3. taraf yazılımlara bıraksınlar ki?

Bu bahsettiğimiz mantık haricinde bir güvenlik açığı oluşturur mu ondan emin değilim  		Weepay taraflı bir zarar bulunmamakta zaten.
Sadece site sahibine ödenmeyen siparişi ödendi gösterebilirsiniz Weepay'da ödenmediği belli olacaktır.

OguzhanLevent · Answer

Eşleştirme muhtemelen weepay üzerinde yapılıyordur. Mantıken payment id oluşturulurken weepay ürün fiyat gibi temel bilgileri alır. Woo yapısını bilmiyorum fakat ödeme adımında sipariş oluşuyor ve ödeme bekleniyor konumunda kalıyorsa weepay onu da alıyordur muhtemelen.

sonuç olarak weepay e bir order_id veya cart_id gönderiyorsunuz weepay tarafında bu eşleşme yapılmazsa durum otomatik olarak false döner, adamlar bu kontrolü neden 3. taraf yazılımlara bıraksınlar ki?

Bu bahsettiğimiz mantık haricinde bir güvenlik açığı oluşturur mu ondan emin değilim

DOS · Answer

@weepay;  hocamız forumdan çıktı yeni farkettim. Aydınlatacağını düşünüyorum.

Saul4Goodmann · Answer

iyovex adlı üyeden alıntı:						mesajı görüntüle									Mevcut kodlamada bulunan GetOrderData fonksiyonu, Weepay'a bağlanarak sipariş bilgisini çekiyor. %90 ihtimalle, o veride sipariş ID'si de bulunuyor.
Gelen veride sipariş ID'si orderId değişkeninde olduğunu varsayalım. Aşağıdaki örnek kod gibi bir kontrol aşaması olması gerekir (13. Satırda fonksiyon çalıştırılmakta.):

$siparisidkontrol = $Result->data->orderId;

if ($siparisidkontrol != $orderId) {
    throw new &#92;Exception("Sipariş ID uyuşmuyor.");
}Eğer burada sipariş ID'si dönmüyorsa, belirttiğiniz gibi hash ile kontrol edilmesi gerekirdi.
Weepay'den gelen verilerde aşağıdaki bilgiler hash olarak gelmeli ve sistemde aynı hash bilgileriyle hash kodu oluşturulup uyuşup uyuşmadığı kontrol edilmelidir:weepay_payment_bayi_id
weepay_payment_bayi_api
weepay_payment_bayi_secret
orderId
paymentId
 		haklısınız hocam öyle bir kontrol olmalı ama yok veya direkt weepaye bağlanarak oradan orderId almalı ama onu da yapmıyor. weepayde hash olmadığı için hocam öyle bir kontrol yok.

iyovex · Answer

Mevcut kodlamada bulunan GetOrderData fonksiyonu, Weepay'a bağlanarak sipariş bilgisini çekiyor. %90 ihtimalle, o veride sipariş ID'si de bulunuyor.
Gelen veride sipariş ID'si orderId değişkeninde olduğunu varsayalım. Aşağıdaki örnek kod gibi bir kontrol aşaması olması gerekir (13. Satırda fonksiyon çalıştırılmakta.):

$siparisidkontrol = $Result->data->orderId;

if ($siparisidkontrol != $orderId) {
    throw new &#92;Exception("Sipariş ID uyuşmuyor.");
}Eğer burada sipariş ID'si dönmüyorsa, belirttiğiniz gibi hash ile kontrol edilmesi gerekirdi.
Weepay'den gelen verilerde aşağıdaki bilgiler hash olarak gelmeli ve sistemde aynı hash bilgileriyle hash kodu oluşturulup uyuşup uyuşmadığı kontrol edilmelidir:weepay_payment_bayi_id
weepay_payment_bayi_api
weepay_payment_bayi_secret
orderId
paymentId

Saul4Goodmann · Answer

DOS adlı üyeden alıntı:						mesajı görüntüle									Hocam uzun uzun yazmak yerine çok kısa bir örnek vermek istiyorum.

1. Sipariş
* Ürün 1 : sakız
* Ürün 2 : çikolata
Not: Ödendi.
OrderId ve PaymentId ürünler ve sipariş completed ödendi sorunsuz. (OrderId ve PaymentId ilişkili ürünler ve ödeme durumu başarılıya geçti.)

2. Sipariş
* Ürün 1 : iphone
* Ürün 2 : Samsung
Not: Ödenmedi.

Manipüle için 2. Siparişin Order bilgisi veriliyor ve 1. siparişin Payment bilgisi veriliyor. Fakat Wc_Order WooCommerce Tarafında OrderId ile Payment bilgisine erişiyor 1. siparişin bakıyor daha önce ödenmiş ve teslim edilmiş veritabanında kayıtlara geçmiş Bunu sadece OrderId ile içerde ilişkili sorguda tespit edebilir. Ve Daha önce ödenip teslim edilmiş olarak işlendiği için ödenmemiş sipariş durumu bekleyen olmadığı için orada Order Modeli Sorguda ödenmemiş bir sipariş olmadığı daha önce ödendiği için sorgudan veri null döner ve Order Modeli Null olduğu için Weepay tarafında Order değişkeni null olacak ve teslim işleminde Order işlemleri sağlanmayacak bilmem anlatabildimmi. 		örneğinizden gidecek olursak

1. sipariş
Ürün 1: Sakız
Woocommerce in oluşturduğu order id: 15
Weepayin oluşturduğu woocommerce in bilmediği id: 12345
Durum: Ödendi

2. sipariş 
Ürün 1: İphone
Woocommerce in oluşturduğu order id: 16
Weepay oluşturuyor ama kullanmayacağız
Durum Ödenmedi

Önceki ödemeden weepayin oluşturduğu 12345 i aldık ve bununla birlikte woocommerce in oluşturduğu 16 ödenmeyen değeri aldık post ettik. Kodlara göre weepay in oluşturduğu 12345 i weepayin apisinden sorguladı ve ödemenin yapıldığını gördü success oldu bu kısım geçti. wc_order ile 16 idli sipariş üzerinde işlem yapılacağını belirtti. 12345 ödendiği için wc_order fonksiyonu ile payment complete denildi ve ödeme başarılı işaretlendi. yani wc_order weepaye özel order id ile payment id yi karşılaştırsın vs. gibi bir şey yapamaz yapamamalı.

Saul4Goodmann · Answer

DOS adlı üyeden alıntı:						mesajı görüntüle									Hocam uzun uzun yazmak yerine çok kısa bir örnek vermek istiyorum.

1. Sipariş
* Ürün 1 : sakız
* Ürün 2 : çikolata
Not: Ödendi.
OrderId ve PaymentId ürünler ve sipariş completed ödendi sorunsuz. (OrderId ve PaymentId ilişkili ürünler ve ödeme durumu başarılıya geçti.)

2. Sipariş
* Ürün 1 : iphone
* Ürün 2 : Samsung
Not: Ödenmedi.

Manipüle için 2. Siparişin Order bilgisi veriliyor ve 1. siparişin Payment bilgisi veriliyor. Fakat Wc_Order WooCommerce Tarafında OrderId ile Payment bilgisine erişiyor 1. siparişin bakıyor daha önce ödenmiş ve teslim edilmiş veritabanında kayıtlara geçmiş Bunu sadece OrderId ile içerde ilişkili sorguda tespit edebilir. Ve Daha önce ödenip teslim edilmiş olarak işlendiği için ödenmemiş sipariş durumu bekleyen olmadığı için orada Order Modeli Sorguda ödenmemiş bir sipariş olmadığı daha önce ödendiği için sorgudan veri null döner ve Order Modeli Null olduğu için Weepay tarafında Order değişkeni null olacak ve teslim işleminde Order işlemleri sağlanmayacak bilmem anlatabildimmi. 		tamam hocam işte bunun kodlar içinde yapılması gerekiyor çünkü wc_order fonksiyonunun paymentId ye erişimi yok olsa bile bu kontrolü sağlamıyor wc_order tüm woocommercelerde bulunan tüm ödeme entegrasyonlarının kullandığı veritabanından sipariş detayını ileten bir fonksiyon

DOS · Answer

Saul4Goodmann adlı üyeden alıntı:						mesajı görüntüle									order id ve payment id kontrolünü bu sayfada tek satırla değilde woocommercin kendi fonksiyonunu düzelterek yapmışlar diyorsunuz yani? atar gideri siz yapıyorsunuz hocam basit bir konu açtım weepay şirketi sahibi gibi savunmanıza gerek yok açık olabilir norma bir şey sonuçta bunu da kusurlu bir insan kodladı veya bende de kusur olabilir görmediğim yer olabilir ama siz bir kod göstermeden varsayımlar üzerinden konuşuyorsunuz. Orda onu yapmışlardır, açık bırakmamışlardır, büyük topluluk sonuçta vs. diyerek

+ olarak "Woocommerce tarafında OrderId ve PaymentId ilişkisi her türlü yapılır. " demişsiniz ama bu tek sayfalık eklenti nasıl woocommerce tarafında ki fonksiyonları düzeltecek, eklentiyi indirip yüklüyoruz woocommerce bu eklentinin herhangi bir fonksiyonunu düzeltme izni vereceğini sanmıyorum. 		Hocam uzun uzun yazmak yerine çok kısa bir örnek vermek istiyorum.

1. Sipariş 
* Ürün 1 : sakız
* Ürün 2 : çikolata
Not: Ödendi.
OrderId ve PaymentId ürünler ve sipariş completed ödendi sorunsuz. (OrderId ve PaymentId ilişkili ürünler ve ödeme durumu başarılıya geçti.)

2. Sipariş
* Ürün 1 : iphone
* Ürün 2 : Samsung
Not: Ödenmedi.

Manipüle için 2. Siparişin Order bilgisi veriliyor ve 1. siparişin Payment bilgisi veriliyor. Fakat Wc_Order WooCommerce Tarafında OrderId ile Payment bilgisine erişiyor 1. siparişin bakıyor daha önce ödenmiş ve teslim edilmiş veritabanında kayıtlara geçmiş Bunu sadece OrderId ile içerde ilişkili sorguda tespit edebilir. Ve Daha önce ödenip teslim edilmiş olarak işlendiği için ödenmemiş sipariş durumu bekleyen olmadığı için orada Order Modeli Sorguda ödenmemiş bir sipariş olmadığı daha önce ödendiği için sorgudan veri null döner ve Order Modeli Null olduğu için Weepay tarafında Order değişkeni null olacak ve teslim işleminde Order işlemleri sağlanmayacak bilmem anlatabildimmi.

Saul4Goodmann · Answer

DOS adlı üyeden alıntı:						mesajı görüntüle									Wc_order ve wc_clean function'larınıda tam olarak atarsan orderId ile paymentId'e erişip eskiden ödenmiş olan order'ı sorgu ile ödenmemiş olarakmı sorguyu atıyor eğer öyleyse Order modeli Null dönecektir yine güvenliğe takılacaktır söylediğim 2 function'ı tam olarak atarsan oralardaki sorgu ve işlemleri kontrol edebiliriz tekrardan hiç sanmıyorum ama bu haliyle anlaşılmaz.

Not: OrderID'yi WooCommerce'ın function'ı olan Wc_Order'a iletiyor Görünen kodlarda söylediğin gibi güvenliği sıkıntıya sokacak gibi bir hava yaratmış olsalarda Woocommerce tarafında OrderId ve PaymentId ilişkisi her türlü yapılır. Yapılmasada Önceden ödenmiş olan siparişi yeni ödenmemiş bir siparişte OrderId ile yine Wc_Order tarafında Model'e erişirken siparişi teslim etmek ödemeyi onaylamak için ödenmemiş bir sipariş araması yapar WooCommerce'de büyük bir topluluğa sahip boş geçmezler oranın sorgusundada ekstradan düşünülmüştür bu kısım diye düşünüyorum sen çok büyük umutlarla açmışsın gibi görünüyorsun konuda atar gider yapıyorsunda WooCommerce içerisinde sorgularda bu kontrolü yapıyorsa Weepay ekstra gerek duymamışda olabilir dışarda tekrar kontrolünü yapmayaki büyük ihtimal bu şekildedir. Production'da olan bir yazılımda weepay aktifken aynı kurguya manipüle denenirse büyük ihtimal Wc_Order'dan dönen Order Modeli Null dönmesi çok muhtemel olacaktır dönmezse zaten güvenliği vardır uzatmaya gerek yok  		order id ve payment id kontrolünü bu sayfada tek satırla değilde woocommercin kendi fonksiyonunu düzelterek yapmışlar diyorsunuz yani? atar gideri siz yapıyorsunuz hocam basit bir konu açtım weepay şirketi sahibi gibi savunmanıza gerek yok açık olabilir norma bir şey sonuçta bunu da tamamen 0 kusursuz bir insan kodlamadı veya bende de kusur olabilir görmediğim yer olabilir ama siz bir kod göstermeden varsayımlar üzerinden konuşuyorsunuz. Orda onu yapmışlardır, açık bırakmamışlardır, büyük topluluk sonuçta vs. diyerek

+ olarak "Woocommerce tarafında OrderId ve PaymentId ilişkisi her türlü yapılır. " demişsiniz ama bu tek sayfalık eklenti nasıl woocommerce tarafında ki fonksiyonları düzeltecek, eklentiyi indirip yüklüyoruz woocommerce bu eklentinin herhangi bir fonksiyonunu düzeltme izni vereceğini sanmıyorum.

DOS · Answer

Saul4Goodmann adlı üyeden alıntı:						mesajı görüntüle									yani hocam ben göremediğim için bu konuyu açtım zaten belki göremediğim bir şey vardır diye bende güvenlik açığı yoktur engellemişlerdir, vardır bir şey diye düşünseydim bu konu olmazdı zaten. 		Wc_order ve wc_clean function'larınıda tam olarak atarsan orderId ile paymentId'e erişip eskiden ödenmiş olan order'ı sorgu ile ödenmemiş olarakmı sorguyu atıyor eğer öyleyse Order modeli Null dönecektir yine güvenliğe takılacaktır söylediğim 2 function'ı tam olarak atarsan oralardaki sorgu ve işlemleri kontrol edebiliriz tekrardan hiç sanmıyorum ama bu haliyle anlaşılmaz.

Not: OrderID'yi WooCommerce'ın function'ı olan Wc_Order'a iletiyor Görünen kodlarda söylediğin gibi güvenliği sıkıntıya sokacak gibi bir hava yaratmış olsalarda Woocommerce tarafında OrderId ve PaymentId ilişkisi her türlü yapılır. Yapılmasada Önceden ödenmiş olan siparişi yeni ödenmemiş bir siparişte OrderId ile yine Wc_Order tarafında Model'e erişirken siparişi teslim etmek ödemeyi onaylamak için ödenmemiş bir sipariş araması yapar WooCommerce'de büyük bir topluluğa sahip boş geçmezler oranın sorgusundada ekstradan düşünülmüştür bu kısım diye düşünüyorum sen çok büyük umutlarla açmışsın gibi görünüyorsun konuda atar gider yapıyorsunda WooCommerce içerisinde sorgularda bu kontrolü yapıyorsa Weepay ekstra gerek duymamışda olabilir dışarda tekrar kontrolünü yapmayaki büyük ihtimal bu şekildedir. Production'da olan bir yazılımda weepay aktifken aynı kurguya manipüle denenirse büyük ihtimal Wc_Order'dan dönen Order Modeli Null dönmesi çok muhtemel olacaktır dönmezse zaten güvenlik açığı vardır uzatmaya gerek yok

Saul4Goodmann · Answer

DOS adlı üyeden alıntı:						mesajı görüntüle									hocam sen sepet ve çoklu order mantığıyla bakıyorsunda olaya tamam yine senin dediğin gibi düşünelim. Ama bu modüller eklentiler öyle sürekli update alan yazılımlar değil wordpress tarafında Wc_Order - wc_clean gibi function'lara parametre olarak veriyor orada tekrardan sorgu ile paymentId ve OrderID'nin ilişkisi kontrolü yapılması çok muhtemeldir oradaki kodları bilmiyorum wordpressle ilgilenmem fakat o söylediğim id'lerin verildiği function'lara erişip id'ler ile napıyor kontrol edersen orada herşey ortaya çıkar dediğine göre güvenlik açığı oluşturur bu ama çok aptalca olur orderID'nin paymentID ile ilişkisinin kontrol edilmemesi ama vardır görünmüyor ilettiğin kodlarda Wc_order wc_clean gibi functionlar ama oraya bakmanı öneririm yinede güvenlik açığı olcağını sanmam olsaydı içinden geçerlerdi şimdiye kadar  		yani hocam ben göremediğim için bu konuyu açtım zaten belki göremediğim bir şey vardır diye bende güvenlik açığı yoktur engellemişlerdir, vardır bir şey diye düşünseydim bu konu olmazdı zaten.

DOS · Answer

Saul4Goodmann adlı üyeden alıntı:						mesajı görüntüle									daha detaylı anlatayım

200 tllik ürünü sepete ekledim satın aldım, incele de network kısmından callback sayfasına giden post kısımlarından paymentId değerini kopyaladım.
ardından 5000 tllik ürünü sepete ekledim ve ödeme kısmında ödeme yapmadan çıktım. Bu siparişinde orderId değerini aldım.

ardından callback linkine post gönderdim ödemesini yaptığım paymentId ve ödemesini yapmadığım woocommerce siparişimizin idsi ni
kodlar kısmında bu iki değeri kullanarak paymentId ye baktı ve ödenmiş olduğunu döndü, kod içinde direkt ödenmişse bizim ödemediğimiz el ile girdiğimiz orderId değerini kullanıyor.

eğer herhangi bir kontrolü varsa onu gösterebilirsiniz hocam kodu 		hocam sen sepet ve çoklu order mantığıyla bakıyorsunda olaya tamam yine senin dediğin gibi düşünelim. Ama bu modüller eklentiler öyle sürekli update alan yazılımlar değil wordpress tarafında Wc_Order - wc_clean gibi function'lara parametre olarak veriyor orada tekrardan sorgu ile paymentId ve OrderID'nin ilişkisi kontrolü yapılması çok muhtemeldir oradaki kodları bilmiyorum wordpressle ilgilenmem fakat o söylediğim id'lerin verildiği function'lara erişip id'ler ile napıyor kontrol edersen orada herşey ortaya çıkar dediğine göre güvenlik açığı oluşturur bu ama çok aptalca olur orderID'nin paymentID ile ilişkisinin kontrol edilmemesi ama vardır görünmüyor ilettiğin kodlarda Wc_order wc_clean gibi functionlar ama oraya bakmanı öneririm yinede güvenlik açığı olcağını sanmam olsaydı içinden geçerlerdi şimdiye kadar

gurmesoft · Answer

Merhaba, POS Entegratör eklentimiz ile WeePay'i daha güvenli şekilde kullanabilirsiniz. incelemek ve iletişim için posentegrator.com

Saul4Goodmann · Answer

DOS adlı üyeden alıntı:						mesajı görüntüle									kodları detaylı okursan Post işleminde gönderilen payment ve order id'leri üzerinden işlem yapıyor zaten sen başka bir order payment id verirsen onunda sipariş teslim ederken sipariş başarıyla teslim edildiğinin zaten kontrolü vardır 2. kez siparişi teslim etmez ve ödemeside hiçbir şekilde yapılmamış bir siparişin weepay tarafından success' alamıyacağın için sipariş teslim etme kısmına yine hiç ulaşamazsın kurgularınızda ciddi sıkıntılar var ufkunuzu açarak düşünün  		daha detaylı anlatayım

200 tllik ürünü sepete ekledim satın aldım, incele de network kısmından callback sayfasına giden post kısımlarından paymentId değerini kopyaladım.
ardından 5000 tllik ürünü sepete ekledim ve ödeme kısmında ödeme yapmadan çıktım. Bu siparişinde orderId değerini aldım.

ardından callback linkine post gönderdim ödemesini yaptığım paymentId ve ödemesini yapmadığım woocommerce siparişimizin idsi ni
kodlar kısmında bu iki değeri kullanarak paymentId ye baktı ve ödenmiş olduğunu döndü, kod içinde direkt ödenmişse bizim ödemediğimiz el ile girdiğimiz orderId değerini kullanıyor.

eğer herhangi bir kontrolü varsa onu gösterebilirsiniz hocam kodu

DOS · Answer

Saul4Goodmann adlı üyeden alıntı:						mesajı görüntüle									200 tllik bir sepetin ödemesini yaparsak onun paymentId si ve 5000 tllik siparişimizin orderId si ile ödeme yapılabilir gibi hocam. 200 tllik siparişte ki paymentId yi kontrol edecek ödediğimiz için success kısımları geçilecek post ile gönderdiğimz orderId yi tamamlandı işaretleyecek 		kodları detaylı okursan Post işleminde gönderilen payment ve order id'leri üzerinden işlem yapıyor zaten sen başka bir order payment id verirsen onunda sipariş teslim ederken sipariş başarıyla teslim edildiğinin zaten kontrolü vardır 2. kez siparişi teslim etmez ve ödemeside hiçbir şekilde yapılmamış bir siparişin weepay tarafından success' alamıyacağın için sipariş teslim etme kısmına yine hiç ulaşamazsın kurgularınızda ciddi sıkıntılar var ufkunuzu açarak düşünün

Saul4Goodmann · Answer

DOS adlı üyeden alıntı:						mesajı görüntüle									GetOrderData'da paymentId iletilip tekrardan sorgu atılıyor ve requestte gizli olarak tutulan secretKey ApiKey gibi bilgiler yeralıyor callback manipüle edilemez Ödemenin gerçekten Weepay tarafında status'u 2. kez success kontrolü yapılıyor. Tamam ödeme yapılmamış bir order'ı manipüle edersinde siparişin teslim edilebilmesi için öndesinde tekrar weepay ile haberleşip gerçekten sunucu tarafında ödemenin success'mı olduğu kontrolü yapılıyor burada ne yaparsan yap weepay'den o ödeme yapılmadığı taktirde o success'ı alamazsın manipüle ile bilginize. 		200 tllik bir sepetin ödemesini yaparsak onun paymentId si ve 5000 tllik siparişimizin orderId si ile ödeme yapılabilir gibi hocam. 200 tllik siparişte ki paymentId yi kontrol edecek ödediğimiz için success kısımları geçilecek post ile gönderdiğimz orderId yi tamamlandı işaretleyecek

DOS · Answer

GetOrderData'da paymentId iletilip tekrardan istek atılıyor ve requestte gizli olarak tutulan secretKey ApiKey gibi bilgiler yeralıyor callback manipüle edilemez Ödemenin gerçekten Weepay tarafında status'u success'mı diye kontrolü yapılıyor. Manipüle edersinde siparişin teslim edilebilmesi kısmına geçemezsin weepay'den success gelmez ödeme olmadıysa hiçbir şekilde.

aykutceylan · Answer

Saul4Goodmann adlı üyeden alıntı:						mesajı görüntüle									sahte paymentId kullanılamaz hocam weepay apisinden kontrol edildiği için ama evet açık var gibi orderId kısmı için 		Evet hocam yanlış belirttim paymentId'nin sahte kullanımı Weepay API'si tarafından kontrol ediliyor. Ancak, dediğiniz gibi kodda orderId doğrulama eksikliği bulunuyor. POST'tan gelen orderId ile Weepay API'sinden dönen orderId karşılaştırılmadığı için, kötü niyetli bir kişi sahte bir orderId ile ödeme işlemini manipüle edebilir. Bu açığı kapatmak için, API'den gelen orderId ile POST'tan gelen orderId'yi karşılaştırarak yalnızca geçerli bir orderId ile işlem yapılmasını sağlanmalı. Weepay ekibine bunu bildirmeyi düşünebilirsiniz.

Saul4Goodmann · Answer

aykutceylan adlı üyeden alıntı:						mesajı görüntüle									Evet, haklısınız. Kodun mevcut hali güvenlik açısından riskli . Sizin de belirttiğiniz gibi, API'den dönen orderId ile POST'tan gelen orderId arasında bir karşılaştırma yapılmıyor ve sadece paymentId üzerinden işlem yapılıyor. Bu durum kötü niyetli bir kişinin sahte bir POST isteği ile ödeme durumunu manipüle etmesine olanak tanır. Sahte paymentId ile sahte bir ödemenin doğrulanmış gibi gösterilmesine neden olabilir. 		sahte paymentId kullanılamaz hocam weepay apisinden kontrol edildiği için ama evet açık var gibi orderId kısmı için

aykutceylan · Answer

Evet, haklısınız. Kodun mevcut hali güvenlik açısından riskli . Sizin de belirttiğiniz gibi, API'den dönen orderId ile POST'tan gelen orderId arasında bir karşılaştırma yapılmıyor ve sadece paymentId üzerinden işlem yapılıyor. Bu durum kötü niyetli bir kişinin sahte bir POST isteği ile ödeme durumunu manipüle etmesine olanak tanır. Sahte paymentId ile sahte bir ödemenin doğrulanmış gibi gösterilmesine neden olabilir.

Saul4Goodmann · Answer

aykutceylan adlı üyeden alıntı:						mesajı görüntüle									Kesinlikle güvenlik açığı var hocam $orderId ve $paymentId gibi değerler POST verilerinden alınarak doğrudan işlem yapılıyor. Bu durum, sahte POST istekleriyle manipülasyona açık. 		evet hocam sadece $paymentId yi post değerinden alıp apiden dönen orderId ile işlem yapılmalı veya dönen değerle $orderId karşılaştırılsa eşleşmezse işlem sonlandırılır ama burada direkt paymentId ile apiden ödeme bilgisi alınıyor ödenmişse postla gelen orderId yi woocommerce de ödendi işaretliyor, belki benim gözden kaçırdığım veya bilmediğim bir şey vardır diye paylaştım ama yüksek ihtimalle açık var

aykutceylan · Answer

Kesinlikle güvenlik açığı var hocam $orderId ve $paymentId gibi değerler POST verilerinden alınarak doğrudan işlem yapılıyor. Bu durum, sahte POST istekleriyle manipülasyona açık.