CVE-2026-119420

WysokieCVSS 8.8

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.39%

Percentyl 34 - wyżej niż 34% wszystkich znanych CVE

Streszczenie

Lago do wersji 1.55.0 zawiera podatność na obejście uwierzytelniania, która pozwala administratorom organizacji uzyskać tokeny sesji dla istniejących kont poprzez mutację acceptInvite bez sprawdzania hasła. Atakujący może zaprosić adres e-mail ofiary, zaakceptować zaproszenie z dowolnym hasłem i otrzymać JWT umożliwiający dostęp do organizacji ofiary, danych rozliczeniowych, kluczy API i integracji płatności.

Ocena ryzyka

Administrator organizacji może przejąć konto innego użytkownika i uzyskać dostęp do poufnych danych oraz integracji płatności. Może to prowadzić do oszustw finansowych i wycieku danych.

Rekomendacja

Zaktualizuj Lago do wersji nowszej niż 1.55.0. Do czasu aktualizacji ogranicz uprawnienia administratorów organizacji i monitoruj nietypowe akceptacje zaproszeń.

Inne podatności w Lago

CVE-2026-119548Niskie
Lago do wersji 1.55.0 zawiera podatność polegającą na obejściu autoryzacji w Invoices::Payments::StripeService, która pozwala użytkownikom jednej organizacji oznaczyć fakturę innej organizacji jako opłaconą z powodu wyszukiwania faktury bez ograniczenia zakresu. Atakujący kontrolujący integrację Stripe swojej organizacji mogą podpisać zdarzenie payment_intent.succeeded z UUID faktury ofiary, aby odblokować doładowania portfela lub subskrypcje wymagające płatności.

Oryginalny opis (angielski, źródło NVD)

Lago through 1.55.0 contains an authentication bypass vulnerability that allows organization administrators to obtain session tokens for existing accounts via the acceptInvite mutation without a password check. Attackers can invite a victim's email, accept with an arbitrary password, and receive a JWT to access the victim's organizations, billing data, API keys and payment integrations.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS