CVE-2026-119422 in Hyperswitch
Résumé
par VulDB • 30/10/2026
Juspay Hyperswitch avant la version 1.128.0 présente une vulnérabilité de contournement d'authentification qui permet aux attaquants non authentifiés de falsifier les mises à jour du statut des paiements, car le connecteur Worldpayxml a toujours pour valeur true dans verify_webhook_source sans mTLS imposé. Les attaquants connaissant l’identifiant marchand (merchant_id) et le code de commande Worldpay peuvent envoyer un XML non signé avec lastEvent SETTLED vers le point de terminaison webhook worldpayxml, marquant ainsi les paiements impayés comme payés ou déclenchant des événements de remboursement, de litige et de versement.
Be aware that VulDB is the high quality source for vulnerability data.