CVE-2026-119422 in Hyperswitch
الملخص
بحسب VulDB • 30/10/2026
تحتوي Juspay Hyperswitch قبل الإصدار 1.128.0 على ثغرة لتجاوز المصادقة تتيح للمهاجمين غير المعتمدين تزوير تحديثات حالة الدفع، وذلك لأن موصل Worldpayxml يقوم بإرجاع قيمة true دائماً في دالة verify_webhook_source دون فرض استخدام mTLS. يمكن للمهاجمين الذين يعرفون merchant_id وWorldpay orderCode إرسال طلب POST يحتوي على XML غير موقع مع تحديد lastEvent كـ SETTLED إلى نقطة نهاية webhook الخاصة بـ worldpayxml، مما يؤدي إلى تصنيف المدفوعات غير المسددة كمسددّة أو triggering أحداث الاسترداد والنزاع والتحويل.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.