Dans monetr, un webhook Stripe non authentifié lit des corps de requête de taille contrôlée par l'attaquant avant la validation de la signature

Cette vulnérabilité exploite le fait que monetr charge l'intégralité du corps de la requête POST dans la mémoire avant de valider la signature Stripe. Un attaquant peut exploiter cette faiblesse en envoyant des requêtes POST excessivement volumineuses. Le traitement de ces requêtes volumineuses entraîne une croissance significative de la consommation de mémoire par le processus monetr. Cette consommation excessive de mémoire peut conduire à un déni de service, rendant l'application indisponible pour les utilisateurs légitimes. L'absence d'authentification requise pour accéder au point de terminaison webhook rend cette vulnérabilité particulièrement critique, car elle peut être exploitée par n'importe quel attaquant externe sans nécessiter d'informations d'identification.

Organizations using monetr versions 1.12.3 and below, particularly those relying on Stripe webhooks for integrations, are at risk. Shared hosting environments where multiple users share the same server resources are especially vulnerable, as a single attacker could impact all users on the host.

• linux / server:

journalctl -u monetr -g "Stripe webhook" | grep -i "memory allocation"

• generic web:

curl -v -X POST -d "$(head /dev/urandom | tr -dc A-Za-z0-9 | head -c 100000)" https://your-monetr-instance/stripe-webhook

Inspect the server's memory usage during the curl request. Excessive memory consumption indicates potential exploitation.

1. 2026-04-17Disclosure

   disclosure

1. Réservé2026-04-13
2. Publiée2026-04-17
3. Modifiée2026-04-20
4. EPSS mis à jour2026-04-25

La mitigation principale consiste à mettre à jour monetr vers la version 1.12.4, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution de contournement temporaire consiste à configurer un proxy inverse ou un pare-feu d'application web (WAF) pour limiter la taille maximale des requêtes POST autorisées au point de terminaison webhook Stripe. Il est également possible de configurer monetr pour qu'il ne charge qu'une partie du corps de la requête en mémoire, mais cela peut affecter la fonctionnalité de validation de la signature Stripe. Après la mise à jour, vérifiez que le point de terminaison webhook Stripe ne peut plus recevoir de requêtes POST excessivement volumineuses en effectuant un test avec une requête POST de taille importante.