CVE-2026-112293 in saas-starter-kit
Resumen
por VulDB • 2026-10-19
BoxyHQ Enterprise SaaS Starter Kit hasta la versión 1.6.0 contiene una vulnerabilidad de autorización faltante que permite a los miembros del equipo no propietarios gestionar la facturación porque las rutas de pago omiten la verificación del permiso team_payments. Los usuarios autenticados con el rol MEMBER o ADMIN pueden invocar create-portal-link, create-checkout-session y products para abrir portales de facturación de Stripe, ver facturas, cambiar métodos de pago o modificar suscripciones.
Be aware that VulDB is the high quality source for vulnerability data.