شرکت پویا فناوران سدید ایرانیان | Pars-Secure
گزارش بازآزمایی و تأییدیهٔ اصلاح
Retest & Remediation Verification Report
| کارفرما | پلتفرم پرداخت دیجیتال نمونه (FinoPay) |
| کد پروژه | PS-1405-031 |
| تاریخ ارزیابی اصلی | ۱۴۰۵/۰۳/۱۵ |
| تاریخ بازآزمایی | ۱۴۰۵/۰۴/۰۱ |
| نسخهٔ سند | ۱.۰ |
| طبقهبندی | TLP:AMBER |
هدف بازآزمایی
این گزارش وضعیت اصلاح یافتههای گزارش فنی PS-1405-031 را پس از اقدامات اصلاحی تیم فنی FinoPay راستیآزمایی میکند. بازآزمایی روی همان ۲۶ API operation اولیه انجام شد و ارزیابی جدیدی محسوب نمیشود.
خلاصهٔ وضعیت
وضعیت یافتهها
F-001کنترل مالکیت walletId در سمت سرور اعمال و در چندین سناریو راستیآزمایی شد
F-002RBAC روی /admin/* پیادهسازی شد؛ کاربر عادی دیگر پاسخ ۴۰۳ دریافت میکند
F-003فیلد verified دیگر قابل تزریق نیست، ولی فیلد limit_daily همچنان از طریق API پذیرفته میشود
F-004محدودیت ۵ تلاش و قفل ۱۵دقیقهای روی شمارهٔ موبایل اعمال شد
F-005ریسک با تأیید کتبی مدیر فنی پذیرفته شد؛ تغییر اثر منفی بر تجربهٔ کاربری دارد
ریسک پسمانده
یافتهٔ بالای F-003 بهصورت نسبی اصلاح شده است؛ فیلد verified دیگر قابل تزریق نیست ولی فیلد limit_daily همچنان از طریق API قابل دستکاری است که ریسک باقیمانده را در سطح متوسط نگه میدارد. یافتهٔ متوسط F-005 با تأیید کتبی کارفرما پذیرفته شده است.
جمعبندی
یافتهٔ بحرانی F-001 و یافتهٔ بالای F-002 بهطور کامل اصلاح و تأیید شدند. سطح ریسک کلی سازمان به قابلقبول کاهش یافته است. توصیه میشود اصلاح کامل F-003 (حذف limit_daily از API عمومی) در اسرع وقت انجام شود.
میخواهید سازمان شما هم اینطور ارزیابی شود؟
ارزیابی اولیه سطح حملهٔ رایگان و بدون تعهد انجام میشود.