Уязвимость создания заказа при его оплате

[mbkwork1]

Ситуация следующая. Используется модуль LiqPay c доработкой (двумя строчками кода где успешна оплата - редирект на checkout/success, неуспешная на checkout/failure)

При неуспешной оплате переадресовывает на checkout/failure, однако, если изменить ссылку в браузере на checkout/success, создается заказ, будь-то оплата прошла.

 

Такая себе интересная уязвимость для клиента)

 

Кто-то сталкивался с такой проблемой, есть ли какие-то идеи и в какую сторону копать?

[spectre]

21.09.2022 в 11:00, mbkwork1 сказал:

в какую сторону копать?

 

сделать нормально и проверять ответ от ликпея

[mbkwork1]

21.09.2022 в 11:09, spectre сказал:

 

сделать нормально и проверять ответ от ликпея

ответ проверяется, в зависимости от ответа идет редирект на успешный/неуспешный заказ.

какие ещё данные должны изменятся, или, передаваться при неуспешном статусе оплаты?

[spectre]

21.09.2022 в 11:11, mbkwork1 сказал:

ответ проверяется, в зависимости от ответа идет редирект на успешный/неуспешный заказ.

какие ещё данные должны изменятся, или, передаваться при неуспешном статусе оплаты?

 

вам нужен не редирект а изменение статуса заказа по коллбеку а не по ссылке куда переходит пользователь, это вроде очевидно

 

пошли на оплату - статус ожидание оплаты

человек оплатил статус оплачено

не оплатил - не оплачено

[mbkwork1]

21.09.2022 в 11:12, spectre сказал:

 

вам нужен не редирект а изменение статуса заказа по коллбеку а не по ссылке куда переходит пользователь, это вроде очевидно

 

пошли на оплату - статус ожидание оплаты

человек оплатил статус оплачено

не оплатил - не оплачено

принято. будем разбираться.

[mbkwork1]

21.09.2022 в 11:12, spectre сказал:

 

вам нужен не редирект а изменение статуса заказа по коллбеку а не по ссылке куда переходит пользователь, это вроде очевидно

 

пошли на оплату - статус ожидание оплаты

человек оплатил статус оплачено

не оплатил - не оплачено

чеерт) действительно не было никаких проверок по статусу оплаты. а модуль LiqPay по дефолту создавал заказ, никак не проверяя статус) Спасибо за наводку!