待验证50% 置信事实精确时间
攻击者只需向存在签名验证漏洞的 webhook 端点发送一个 curl 请求，声明 checkout.session.completed 事件和任意用户 ID，即可将自己升级到付费计划，无需信用卡或 Stripe 账号。
1
来源数
50%
置信度
长期有效
时效性
2026/10/12
首次发现
来源
涉及实体
相关事实
待验证Stripe Webhook的安全性通过Signing Secret保障，Stripe用密钥对每个请求签名，服务器验证签名后才处理事件74% 相似待验证该攻击是一次会话劫持攻击（Session Grabber），攻击者通过窃取浏览器会话Cookie绕过密码验证直接接管账户70% 相似待验证提示注入或异常用户输入可能让Agent获取本应被阻止的数据或执行本不该执行的操作，属于权限检查被跳过的架构层漏洞69% 相似待验证这两个漏洞都属于零点击（Zero-Click）攻击类型，受害者无需点击链接或下载文件，攻击者即可在用户运行环境中执行任意代码并窃取API Key等敏感凭证68% 相似待验证维护者账号被入侵时，攻击者可能在项目中植入恶意代码，通过后续更新分发给所有下游用户67% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1008227API
curl https://kongchang.com/api/v1/knowledge/claims/1008227MCP
get_claim(id=1008227)