ПостВебхук ЮKassa глотал payment.succeeded без вопросов. Подделать оплату брони — один curl, и готово

Вебхук ЮKassa глотал payment.succeeded без вопросов. Подделать оплату брони — один curl, и готово Разбираю находку из тех-аудита сервиса по аренде тачек: ручка /payments/webhook/yukassa вешала на бронь статус «оплачено», опираясь всего на одно поле из тела запроса. А тело это прилетает от клиента, не от банка. Аудит датирован 5 июля 2026, фикс влили 8 июля — показываю код до и после, тесты и то, что чинить в этом же PR мы сознательно не стали. Читать далее 👉 About Python