CVE-2026-112293 in saas-starter-kit
Résumé
par VulDB • 19/10/2026
BoxyHQ Enterprise SaaS Starter Kit jusqu'à la version 1.6.0 contient une vulnérabilité d'autorisation manquante qui permet aux membres de l'équipe non propriétaires de gérer la facturation car les routes de paiement sautent la vérification des autorisations `team_payments`. Les utilisateurs AUTHENTIFIÉS avec le rôle MEMBER ou ADMIN peuvent appeler create-portal-link, create-checkout-session et products pour ouvrir les portails de facturation Stripe, afficher les factures, modifier les méthodes de paiement ou altérer les abonnements.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.