CVE-2026-119421

ŚrednieCVSS 5.9

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Juspay Hyperswitch w wersjach do 1.128.0 (oraz kompilacjach przed 2026.10.19.0) zawiera podatność polegającą na braku autoryzacji, która pozwala nieuwierzytelnionym atakującym potwierdzać wypłaty dowolnym client_secret poprzez POST /payouts/{payout_id}/confirm. Atakujący posiadający publishable key sprzedawcy i payout_id może potwierdzać wypłaty i nadpisywać pola amount, currency, connector i routing, wywołując nieautoryzowane wypłaty sprzedawcy.

Ocena ryzyka

Atakujący może zainicjować nieautoryzowane wypłaty środków, powodując bezpośrednie straty finansowe i naruszenie procesów rozliczeniowych. Wymaga znajomości publishable key i payout_id.

Rekomendacja

Zaktualizuj Juspay Hyperswitch do wersji nowszej niż 1.128.0 (lub kompilacji po 2026.10.19.0) i wdróż dodatkową autoryzację dla operacji potwierdzania wypłat.

Inne podatności w Juspay Hyperswitch

CVE-2026-119422Średnie
Juspay Hyperswitch w wersjach przed 1.128.0 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym atakującym fałszować aktualizacje statusu płatności, ponieważ funkcja verify_webhook_source connectora Worldpayxml zawsze zwraca true bez wymuszonego mTLS. Atakujący znający merchant_id i orderCode Worldpay może wysłać niepodpisany XML z lastEvent SETTLED do endpointu webhook worldpayxml, oznaczając nieopłacone płatności jako obciążone lub wywołując zdarzenia zwrotu, sporu i wypłaty.

Oryginalny opis (angielski, źródło NVD)

Juspay Hyperswitch through 1.128.0 (and builds before 2026.10.19.0) contains a missing authorization vulnerability that allows unauthenticated attackers to confirm payouts with any client_secret via POST /payouts/{payout_id}/confirm. Attackers holding the merchant's publishable key and a payout_id can confirm payouts and overwrite amount, currency, connector, and routing fields to trigger unauthorized merchant payouts.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS