PayPal-bug laat webshops willekeurig bedrag afrekenen
Een bug in de online betaaldienst PayPal maakt het mogelijk voor webshops om elk willekeurig bedrag af te rekenen nadat de klant zijn bevestiging voor een ander bedrag heeft gegeven. Zodoende denkt de klant dat hij iets voor 1 euro koopt, terwijl de webshop bijvoorbeeld 200 euro afrekent.
De klant krijgt echter alleen de bevestigingsmail van PayPal dat er 200 euro in rekening is gebracht. Het probleem speelt bij het gebruik van de PayPal Express Checkout, zo stelt de Duitse beveiligingsonderzoeker Jan Kechel. Hierbij bevestigt de klant in zijn PayPal-omgeving een betaling en denkt afgerekend te hebben. Na de betaling via PayPal wordt de gebruiker terug naar de webshop gestuurd, waar een andere functie wordt aangeroepen die het mogelijk maakt om een ander bedrag in rekening te brengen, zonder dat de klant hiervoor toestemming heeft gegeven.
Kechel ontdekte het probleem en rapporteerde dit bij PayPal. De betaaldienst stelde dat het niet om een bug gaat maar "bedoeld gedrag", vanwege kleine verschillen in transportkosten en dergelijke. De onderzoeker vindt dat PayPal echter alle bedragen hoger dan het bevestigde bedrag opnieuw door de klant moet laten bevestigen. Als bewijs maakte Kechel deze demonstratie.
het is geen bug, maar een ongedocumenteerde optie !!
Maar betekent deze "feature" dat de bevestiging zelf geen informatie over het te betalen bedrag bevat?
Dat lijkt me een goudmijn voor (MitM-)kwaadwillenden dan!
Oud nieuws dus.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?