Hostヘッダーがlocalhostの場合、WeChat Payのコールバック署名検証がバイパスされる

CVE-2026-33661は、'pay'コンポーネントに影響を与え、WeChat Payを利用するアプリケーションに影響します。具体的には、src/Functions.php内のverifywechatsign()関数は、PSR-7リクエストでホストが'localhost'と報告されている場合に、RSA署名検証を無条件でスキップします。これにより、攻撃者はWeChat Payのコールバックエンドポイントに悪意のあるHTTPリクエストを送信し、重要な署名チェックを回避できます。その結果、攻撃者は偽のWeChat Pay支払い成功通知を偽造し、アプリケーションが実際のお支払いがなかったにもかかわらず、注文を支払済としてマークする可能性があります。CVSSは、この脆弱性を8.6のスコアで評価しており、高いリスクを示しています。影響を受けるバージョンは3.7.20より前のものです。この脆弱性は、多大な経済的損失とシステムインテグリティの侵害につながる可能性があります。

Applications that integrate WeChat Pay using the yansongda/pay library, particularly those deployed on shared hosting environments or with minimal input validation, are at significant risk. Legacy systems using older versions of the library and lacking robust security practices are also highly vulnerable.

• php: Examine application code for usage of yansongda/pay and check version. Search for code that unconditionally skips signature verification based on the Host header.

// Example: Check for vulnerable code in Functions.php
grep -r "verify_wechat_sign(R" /path/to/your/application

• generic web: Monitor access logs for requests to WeChat Pay callback endpoints with a Host: localhost header.

# Example: grep for suspicious host headers in access logs
grep "Host: localhost" /var/log/apache2/access.log

1. 2026-03-25Disclosure

   disclosure

1. 予約済み2026-03-23
2. 公開日2026-03-25
3. 更新日2026-03-27
4. EPSS 更新日2026-04-03

CVE-2026-33661を軽減するための解決策は、'pay'コンポーネントをバージョン3.7.20以降にアップグレードすることです。このアップデートは、verifywechatsign()関数内の欠陥のあるロジックを修正し、ホストヘッダーが'localhost'の場合に署名検証をスキップすることを許可します。さらに、署名検証を超えて、WeChat Payコールバックリクエストのソースを検証する追加の検証を実装することを推奨します。これには、元のIPアドレスの検証、または許可されたIPアドレスのホワイトリストの使用が含まれる場合があります。潜在的な攻撃から保護するために、このアップデートをできるだけ早く適用することが重要です。アップデート後には、WeChat Payの機能が正しく動作し続けることを確認するために、徹底的なテストをお勧めします。