CVE-2026-119421 in Hyperswitch
Résumé
par VulDB • 30/10/2026
Juspay Hyperswitch jusqu'à la version 1.128.0 (et les builds antérieurs au 2026.10.19.0) présente une vulnérabilité d'autorisation manquante qui permet aux attaquants non authentifiés de confirmer des paiements sortants avec n'importe quel `client_secret` via POST /payouts/{payout_id}/confirm. Les attaquants disposant de la clé publique du marchand et d'un ID de paiement peuvent confirmer les virements et écraser les champs montant, devise, connecteur et routage pour déclencher des paiements sortants non autorisés au nom du marchand.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.