CVE-2026-111719 Exposición de información en /f2fPay/order/query de Roncoo-pay

Qué es CVE-2026-111719

Roncoo-pay hasta el commit 9428382 carece de control de autorización en F2FPayController.orderQuery, lo que permite a atacantes no autenticados obtener registros de pago enviando un parámetro trxNo. Los números de transacción son adivinables (prefijo '7' más un snowflake ID), lo que permite recuperar el registro de pago serializado completo de cualquier comercio.

Productos y versiones afectadas

• roncoo roncoo-pay

  • hasta 9428382af21cd5568319eae7429b7e1d0332ff40

Qué hacer

1. Verificá si usás roncoo-pay y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.9 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

CVSS 4.0 · 8.2 ALTA

CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

REQUISITOS DEL ATAQUE (AT)

Presentes

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Roncoo-pay through commit 9428382 contains a missing authorization vulnerability in F2FPayController.orderQuery that allows unauthenticated attackers to retrieve payment records by supplying a trxNo parameter. Attackers can guess transaction numbers, a '7' prefix plus a snowflake ID, to obtain the full serialized payment record of any merchant.

Referencias

• hackmd.io/@hieuPenguinnn/roncoo-pay-f2f-order-query-unauth-record-disclosureTHIRD-PARTY-ADVISORY
• github.com/roncoo/roncoo-pay/blob/9428382af21cd5568319eae7429b7e1d0332ff40/roncoo-pay-web…TECHNICAL-DESCRIPTION
• www.vulncheck.com/advisories/roncoo-pay-through-commit-9428382-information-disclosure-via…THIRD-PARTY-ADVISORY

Historial de la alerta

1. 16 OCT · 15:14VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.