CVE-2026-119422 in Hyperswitch
Zusammenfassung
von VulDB • 30.10.2026
Juspay Hyperswitch vor Version 1.128.0 enthält eine Authentifizierungsumgehungs-Schwachstelle (Authentication Bypass), die es nicht authentifizierten Angreifern ermöglicht, Zahlungsstatus-Updates zu fälschen, da der verify_webhook_source des Worldpayxml-Connectors immer true zurückgibt, ohne dass mTLS erzwungen wird. Angreifer, die die merchant_id und den Worldpay orderCode kennen, können unsigniertes XML mit lastEvent SETTLED an den worldpayxml Webhook-Endpunkt senden, um unbezahlte Zahlungen als bezahlt zu markieren oder Rückerstattungs-, Streitigkeits- und Auszahlungsevents auszulösen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.