Webhook ohne Signaturprüfung
Prüfregel · RSC-SEC-061
- Sicherheit
- Schweregrad: Hoch
- CWE-345
Erkennt Zahlungs-Webhooks, die den Payload verarbeiten, ohne die Signatur zu verifizieren — jeder kann dann Zahlungen vortäuschen.
Prüfstufe
- Quellcode aus Source Maps
- Repo-Zugang (Deep-Scan)
So behebt ihr es
Signatur mit dem Webhook-Secret prüfen (`constructEvent`) und ungültige Anfragen verwerfen.