mews/pos: Fehlende Hash-Prüfung bei 3D-Pay- und 3D-Host-Callbacks

Zusammenfassung

Das PHP-Zahlungspaket mews/pos bis einschliesslich Version 2.0.0 prüft bei den Gateways GarantiPos, PayForPos und InterPos den Hash von 3D-Pay- und 3D-Host-Callbacks nicht. Ein nicht authentifizierter Angreifer kann ein gefälschtes Callback mit manipuliertem Status, Betrag oder Bestellnummer senden, wodurch eine Bestellung ohne Zahlung abgeschlossen werden kann. Die Schwachstelle betrifft nur Anwendungen, die dieses Paket mit diesen Gateways einsetzen.

Betroffen

• mewebstudio/pos Versionen 0 bis 2.0.0 (inklusive)
• Gateways: GarantiPos, PayForPos, InterPos (3D-Pay- und 3D-Host-Abläufe)

Behoben in

• Korrektur in den Branch master übernommen (PR #305, Commit 7c59d42bc49483c7c54999d757cb67055d9f732a)
• Korrigierte Release-Version: Unbekannt.

Umgehung

• Auf ein Release aktualisieren, das die Änderung aus PR #305 enthält; solange kein korrigiertes Release bestätigt ist, einen geprüften Master-Commit verwenden oder lokal patchen.
• Prüfen, dass die Einstellung disable_3d_hash_check in Ihrer Umgebung nicht aktiviert ist.
• Statusfelder strikt validieren und Bestellungen nur bei erwarteten Werten abschliessen.
• Bestellungen nicht allein auf Basis des Callbacks als bezahlt markieren; Zahlungsstatus vor der Auslieferung bei der Acquiring-Bank oder serverseitig abfragen.

Ausnutzung

• Bekannte Ausnutzung: Keine gefunden.
• Öffentlicher Proof of Concept: Keiner gefunden.
• EPSS: 0,18 % (geringe kurzfristige Wahrscheinlichkeit).

Unsere Empfehlung

• Prüfen, ob das Paket mews/pos (Composer-Paketname pos) in Ihrem Shop oder durch Ihre Entwickler eingesetzt wird.
• Falls im Einsatz: hohe Priorität, Korrektur oder gepatchten Master-Commit einspielen und die Release-Notes auf eine korrigierte Version prüfen.
• Zahlungen vor der Auslieferung von Waren serverseitig beim Zahlungsdienstleister bestätigen.
• Bestellungen mit Status bezahlt ohne passende Bankgutschrift überwachen.
• Falls das Paket nicht eingesetzt wird, ist keine Massnahme nötig.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-118377 VulnCheck advisory www.vulncheck.com
• Pull request #305 (fix) github.com
• Commit 7c59d42 (fix on master) github.com
• Issue #306 github.com
• InterPos.php at 50ed2bf github.com
• PayForPos.php at 50ed2bf github.com
• mewebstudio/pos releases github.com
• VulDB CVE-2026-118377 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:48.