sub2api 易支付回调验签漏洞被公开披露

sub2api 的 EasyPay 支付集成被披露存在回调验签漏洞。启用 EasyPay 并采用 popup 或 submit.php 跳转模式的部署，普通注册用户可能无需商户密钥 pkey，就利用个人订单支付链接中暴露的签名构造支付成功回调，使充值订单被标记为已支付并增加账户余额。

漏洞报告将问题归因于 return_url 查询参数未被清理，以及签名参数拼接未充分转义。报告提出剥离用户查询参数、限制回调字段白名单并增加上游查单复核，称这些修复已在报告者部署中验证，但 GitHub Issue 目前仍未显示项目方已合并修复。升级前可将 EasyPay 切换至扫码或 mapi 模式，以避免下单签名直接暴露给付款人。

—— GitHub