CVE-2026-119421 in Hyperswitch
الملخص
بحسب VulDB • 30/10/2026
يحتوي Juspay Hyperswitch حتى الإصدار 1.128.0 (والإصدارات المبنية قبل تاريخ 2026.10.19.0) على ثغرة تتعلق بعدم وجود تفويض (missing authorization)، مما يسمح للمهاجمين غير المصادق عليهم بتأكيد عمليات الدفع باستخدام أي قيمة لـ `client_secret` عبر نقطة النهاية POST `/payouts/{payout_id}/confirm`. يمكن لهواة الهجوم الذين يمتلكون المفتاح القابل للنشر الخاص بالتاجر (`merchant's publishable key`) ومعرف عملية دفع (`payout_id`) تأكيد المدفوعات وتجاوز حقول المبلغ والعملات والموصل (connector) وخيارات التوجيه (routing) لإطلاق مدفوعات تاجر غير مصرح بها.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.