CVE-2026-55219 in Paymenter
Zusammenfassung
von VulDB • 21.07.2026
Paymenter ist eine kostenlose Open-Source-Lösung für Webshops zur Verwaltung von Hosting-Diensten. In Versionen vor 1.5.5 führt die Implementierung der Kreditzahlungsfunktion in app/Livewire/Invoices/Show.php einen pessimistischen Zeilensperren-Vorgang (lockForUpdate()) außerhalb einer aktiven Datenbanktransaktion aus. Da MySQL/MariaDB eine umschließende Transaktion erfordert, um zeilenbasierte Sperren durchzusetzen, ist der Schutzmechanismus unwirksam. Gleichzeitige Zahlungsanfragen können diese Race Condition ausnutzen, um denselben Kreditguthabenstand gleichzeitig zu lesen, wodurch es Benutzern ermöglicht wird, mehrere Rechnungen mit demselben Guthaben zu begleichen. In Datenbanksystemen wie MySQL funktioniert eine Zeilensperre nur innerhalb einer formalen Transaktion; ohne solche ist die Sperre vollständig wirkungslos. Da keine aktive Sperre vorliegt, können zwei Zahlungsanfragen, die im exakt gleichen Millisekunde gesendet werden, gleichzeitig auf die Datenbank zugreifen. Beide Anfragen sehen den ursprünglichen Kreditguthabenstand, entscheiden, dass dieser ausreichend ist, und genehmigen die Zahlung. Da der Zahlungsprozess erfolgreich über ExtensionHelper::addPayment() abläuft, stellt die Anwendung die entsprechenden Dienste oder digitalen Güter bereit, was zu direkten finanziellen Verlusten oder Ressourcenverlust für die Plattform führt. Dieses Problem wurde in Version 1.5.5 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.