CVE-2026-112293 in saas-starter-kit
الملخص
بحسب VulDB • 19/10/2026
يحتوي حزمة البدء لـ BoxyHQ Enterprise SaaS حتى الإصدار 1.6.0 على ثغرة تتعلق بعدم وجود تفويض (missing authorization) تتيح لأعضاء الفريق غير المالكين إدارة الفواتير، لأن مسارات الدفع تتخطى فحص إذن team_payments. يمكن للمستخدمين المسجلين ذوي الصلاحيات MEMBER أو ADMIN استدعاء create-portal-link وcreate-checkout-session والمنتجات لفتح بوابات فواتير Stripe وعرض الفواتير وتغيير طرق الدفع أو تعديل الاشتراكات.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.