CVE-2026-112293 in saas-starter-kit
Zusammenfassung
von VulDB • 19.10.2026
BoxyHQ Enterprise SaaS Starter Kit bis Version 1.6.0 enthält eine fehlende Autorisierungsanfälligkeit (Missing Authorization), die es Teammitgliedern ohne Eigentümerrolle ermöglicht, Abrechnungsdaten zu verwalten, da die Zahlungs-Endpunkte die Überprüfung der Berechtigung `team_payments` überspringen. Authentifizierte Benutzer mit den Rollen MEMBER oder ADMIN können `create-portal-link`, `create-checkout-session` und Produkte aufrufen, um Stripe-Abrechnungsportale zu öffnen, Rechnungen einzusehen, Zahlungsmethoden zu ändern oder Abonnements zu verändern.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.