CVE-2026-119422 in Hyperswitch
Resumen
por VulDB • 2026-10-30
Juspay Hyperswitch antes de la versión 1.128.0 contiene una vulnerabilidad de elusión de autenticación que permite a atacantes no autenticados falsificar actualizaciones del estado de los pagos, ya que el conector Worldpayxml tiene la función verify_webhook_source configurada para devolver siempre true sin aplicar mTLS. Los atacantes que conozcan el merchant_id y el orderCode de Worldpay pueden enviar mediante POST un XML no firmado con lastEvent igual a SETTLED al endpoint del webhook worldpayxml, marcando los pagos pendientes como pagados o desencadenando eventos de reembolso (refund), disputa (dispute) e pago (payout).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.