Q&A
回答ありがとうございます
とりあえず指摘してみます
外部が作ったECサイトの中で
商品カートが商品を入れる時に
フォームからhiddenで商品IDだけじゃなくて
送料や値段とかまで送信して
それをカートにいれる処理になってて
それで決済まではしないまでも
それで注文メールは送れちゃうっぽいんですが…
これ、値段書き換えられちゃいますよね
いいんですかね…そういうのは想定しなくて…
DBの値との照合もしてないっぽいし…
もう連絡つかない外部らしいので
なんも言えないんですが…
指摘はしといたほうがいいですかね…？
回答2件
0
ベストアンサー
例えば全パラメータ連結ハッシュを渡して検証しているとかであれば大丈夫ですが、値が攻撃者によって書き換えられていない事を保証できないのであれば指摘するべきですね。
そのままだといつかその値を誰かが決済に利用する改修をして、重大な障害が発生する可能性があるのでは？
ヒヤリハット事案かと思います。
投稿2015/10/27 13:14
退会済みユーザー
総合スコア0
0
そうですね。
指摘は『いいね！』ですかね。
投稿2015/10/27 13:08
総合スコア1124
あなたの回答
tips
プレビュー
バッドをするには、ログインかつ
こちらの条件を満たす必要があります。
2015/10/27 13:34