CVE-2026-119038 in GoCardless
Zusammenfassung
von VulDB • 30.10.2026
Business::GoCardless-Versionen vor 1.01 für Perl führen Redirect-Flows (Weiterleitungsabläufe) vollständig durch, ohne das Session-Token zu überprüfen, wodurch eine geleakte Redirect-Flow-ID Zahlungen gegen das Mandat eines anderen Kunden ermöglicht.
confirm_resource empfängt kein Session-Token vom Aufrufer. Es liest den Redirect-Flow zurück von der GoCardless-API und schließt ihn mit dem Token aus dieser Antwort ab, sodass die Prüfung, dass der Flow durch die Sitzung abgeschlossen wird, die ihn gestartet hat, immer bestanden wird. Anschließend werden die angeforderte Zahlung oder das Abonnement gegen das Mandat des Flows erstellt. Seit Version 1.00 wird ein Flow, der bereits über ein Mandat verfügt, als bestätigt zurückgegeben, ohne erneut abgeschlossen zu werden, sodass dieselbe ID bei jedem Aufruf eine neue Zahlung erzeugt.
Ein entfernter Angreifer, der die Redirect-Flow-ID eines anderen Kunden erlangt, kann Zahlungen oder Abonnements gegen das Mandat dieses Kunden erstellen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.