JVNVU#99975381
(訂正) NETELLER Direct に HTTP リクエストの検証不備の脆弱性

NETELLER Direct の Payment API には、HTTP リクエストの検証不備の脆弱性が存在します。

(2013年10月7日 - 追記)
本脆弱性のレポートは正しくなかったとのことです。

• NETELLER Direct Payment API version 4.1.6 およびそれ以前

NETELLER Direct の Payment API には、HTTP POST リクエストに含まれる amount、merchant_id、merch_key、secure_id パラメータを改ざんしてサーバ側に処理させることが可能な問題（CWE-602: サーバ側で実施すべき検証処理をクライアント側で実施している問題）が存在します。

(2013年10月7日 - 追記)
本脆弱性のレポートは正しくなかったとのことです。

細工された HTTP POST リクエストをサーバが受信することで、不正に購入手続きを完了される可能性があります。

2013年9月24日現在、対策方法は不明です。