Вебхук ЮKassa глотал payment.succeeded без вопросов. Подделать оплату брони — один curl, и готово

Разбираю находку из тех-аудита сервиса по аренде тачек: ручка /payments/webhook/yukassa вешала на бронь статус «оплачено», опираясь всего на одно поле из тела запроса. А тело это прилетает от клиента, не от банка.

Аудит датирован 5 июля 2026, фикс влили 8 июля — показываю код до и после, тесты и то, что чинить в этом же PR мы сознательно не стали.

Читать далее

👉 About Python