TGViewer
华人日记 华人日记 @kmshare · 25 subscribers
Post #1590 1
sub2api 曝支付漏洞：伪造易支付回调可零成本充值

sub2api 项目曝出支付漏洞：攻击者可复用下单签名伪造易支付（EasyPay）支付成功回调，无需商户密钥即可零成本给账户充值任意金额，普通注册账号即可发起。

漏洞源于签名串拼接不转义、return_url 携带的 query 未净化，叠加 popup 模式签名暴露，仅影响启用易支付并以 popup 模式接入的部署。issue 已附完整修复方案，升级前可先切到非 popup 模式缓解。

GitHub
Open in Telegram All posts from @kmshare
More from @kmshare
  1. Oct 7, 2026Google 发布 EmbeddingGemma 2 端侧多模态模型 Google DeepMind 发布 EmbeddingGemma 2，这是一款 740M 参数的开放权重多模…
  2. Oct 6, 2026Google DeepMind 发布 Nano Banana 2.1 图像模型 Google DeepMind 发布图像模型 Nano Banana 2.1，属 Gemini 3…
  3. Oct 6, 2026Mistral 发布 1 万亿参数模型 法国 AI 公司 Mistral 于 10 月 6 日发布 Mistral Large 4（又称“le Chonk”），称其为全球最强开源模…
  4. Oct 6, 2026Google Docs 与 Drive 支持 Markdown 文件 谷歌宣布在 Google Docs 和 Drive 中直接支持 Markdown 文件。用户可在 Docs 中…
  5. Oct 6, 2026微软、Meta 削减 Claude 使用 微软和 Meta 正大幅减少内部使用 Anthropic 的 Claude。微软云部门人均月预算从 10 万美元降至约 1 万美元，整体支…
  6. Oct 6, 2026photo post
Threads Profile ViewerView any public Threads profile without an account.Open ThreadLook →Writing with AI? Make it sound human.Metric37 rewrites AI drafts so they read naturally. Free AI detector, 1,500 words free.Try Metric37 →