Roncoo-pay: Fehlende Autorisierung in F2F-Bestellabfrage legt Zahlungsdaten offen

Zusammenfassung

Der F2F-Bestellabfrage-Endpunkt /f2fPay/order/query in roncoo-pay bis Commit 9428382 gibt den vollständigen Zahlungsdatensatz zu einer übergebenen trxNo zurück, ohne Authentifizierung und ohne Prüfung der Händlerzugehörigkeit. Ein nicht authentifizierter Angreifer, der eine gültige Transaktionsnummer errät oder erhält, kann Zahlungsdaten anderer Händler einsehen, darunter Identitäten, Beträge, Gebühren und Notify-URLs. Die Ausnutzung erfordert das Erraten von Snowflake-basierten Kennungen, die das CNA als hohe Komplexität einstuft, und eine öffentliche Anleitung existiert.

Betroffen

• roncoo-pay bis Commit 9428382af21cd5568319eae7429b7e1d0332ff40 (Standardbranch master, kein Release-Tag)
• Modul: roncoo-pay-web-gateway, Endpunkt /f2fPay/order/query

Behoben in

Unbekannt. Es wurde noch keine korrigierte Version oder kein korrigierter Commit veröffentlicht.

Umgehung

• Zugriff auf /f2fPay/order/query an der Firewall oder am Reverse Proxy sperren oder einschränken und nur bekannte IP-Bereiche von Händlern oder Zahlungsdienstleistern zulassen.
• Authentifizierung für diesen Pfad auf Proxy-Ebene verlangen.
• Eine Workaround-Massnahme des Herstellers ist nicht bekannt.

Ausnutzung

• Öffentlicher Proof of Concept: Eine öffentliche Anleitung existiert; der Inhalt wurde nicht im Detail geprüft.
• Es ist nicht bekannt, dass die Lücke aktiv ausgenutzt wird.
• CISA SSVC: Exploitation poc, nicht automatisierbar, partielle technische Auswirkung.

Unsere Empfehlung

• Prüfen Sie, ob roncoo-pay in Ihrer Umgebung eingesetzt wird. Falls nicht, ist keine Massnahme nötig.
• Falls es im Einsatz und aus dem Internet erreichbar ist, schränken Sie den Endpunkt der Bestellabfrage umgehend ein.
• Prüfen Sie Webprotokolle auf Anfragen an /f2fPay/order/query aus unbekannten Quellen.
• Beobachten Sie das Upstream-Repository auf eine Korrektur und erstellen Sie nach Verfügbarkeit ein Build aus einem korrigierten Commit.
• Behandeln Sie die Offenlegung von Zahlungsdaten als hohes Risiko, falls die Instanz exponiert ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Vulnerable code (GitHub, F2FPayController.java) github.com
• VulnCheck advisory www.vulncheck.com
• HackMD write-up hackmd.io
• VulDB entry vuldb.com
• Vulners CVE record vulners.com
• roncoo-pay project github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:52.