CVE-2026-33661 yansongda/pay 微信支付签名绕过漏洞

CVE-2026-33661 漏洞影响 'pay' 组件，并影响使用微信支付的应用。 具体来说，src/Functions.php 中的 verifywechatsign() 函数在 PSR-7 请求报告主机为 'localhost' 时，会无条件跳过 RSA 签名验证。 这使得攻击者能够向微信支付回调端点发送恶意的 HTTP 请求，从而绕过关键的签名检查。 因此，攻击者可能会伪造虚假的微信支付成功通知，导致应用程序将订单错误地标记为已支付，即使实际上并未发生支付。 CVSS 已将此漏洞评分为 8.6 分，表明风险较高。 受影响的版本低于 3.7.20。 此漏洞可能导致重大的经济损失和系统完整性受损。

Applications that integrate WeChat Pay using the yansongda/pay library, particularly those deployed on shared hosting environments or with minimal input validation, are at significant risk. Legacy systems using older versions of the library and lacking robust security practices are also highly vulnerable.

• php: Examine application code for usage of yansongda/pay and check version. Search for code that unconditionally skips signature verification based on the Host header.

// Example: Check for vulnerable code in Functions.php
grep -r "verify_wechat_sign(R" /path/to/your/application

• generic web: Monitor access logs for requests to WeChat Pay callback endpoints with a Host: localhost header.

# Example: grep for suspicious host headers in access logs
grep "Host: localhost" /var/log/apache2/access.log

1. 2026-03-25Disclosure

   disclosure

1. 已保留2026-03-23
2. 发布日期2026-03-25
3. 修改日期2026-03-27
4. EPSS 更新日期2026-04-03

减轻 CVE-2026-33661 的解决方案是将 'pay' 组件升级到 3.7.20 或更高版本。 此更新更正了 verifywechatsign() 函数中的有缺陷的逻辑，该逻辑允许在主机标头为 'localhost' 时跳过签名验证。 此外，建议在签名验证之外，实施对微信支付回调请求来源的进一步验证，作为补充安全措施。 这可能包括验证原始 IP 地址或使用允许的 IP 地址白名单。 及时应用此更新对于防止潜在攻击至关重要。 升级后建议进行彻底的测试，以确保微信支付功能继续正常运行。