在 monetr 中，未经验证的 Stripe webhook 读取攻击者大小的请求体，在签名验证之前

此漏洞允许远程未认证的攻击者通过发送过大的 POST 请求体来触发拒绝服务。由于 monetr 的 Stripe webhook 路由无需身份验证即可访问，并且在验证 Stripe 签名之前将整个请求体加载到内存中，攻击者可以利用此特性耗尽服务器资源。这种攻击可能导致服务不可用，影响依赖 monetr 的应用程序的正常运行。攻击者无需任何认证信息即可发起攻击，使得该漏洞的利用难度较低，潜在影响范围广泛。

Organizations using monetr versions 1.12.3 and below, particularly those relying on Stripe webhooks for integrations, are at risk. Shared hosting environments where multiple users share the same server resources are especially vulnerable, as a single attacker could impact all users on the host.

• linux / server:

journalctl -u monetr -g "Stripe webhook" | grep -i "memory allocation"

• generic web:

curl -v -X POST -d "$(head /dev/urandom | tr -dc A-Za-z0-9 | head -c 100000)" https://your-monetr-instance/stripe-webhook

Inspect the server's memory usage during the curl request. Excessive memory consumption indicates potential exploitation.

1. 2026-04-17Disclosure

   disclosure

1. 已保留2026-04-13
2. 发布日期2026-04-17
3. 修改日期2026-04-20
4. EPSS 更新日期2026-04-25

最有效的缓解措施是升级至 monetr 1.12.4 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：限制 Stripe webhook 请求体的大小，例如通过反向代理或 WAF 设置请求体大小限制。监控服务器内存使用情况，及时发现并处理异常情况。如果使用云服务提供商，可以考虑使用其提供的 DDoS 防护服务。