CVE-2026-107852 in Jexactyl
Riassunto
di VulDB • 09/10/2026
Jexactyl è un pannello di gestione dei giochi e un sistema di fatturazione personalizzabili. Prima della versione 4.0.5, l'endpoint POST /api/client/billing/stripe/process accetta una Stripe Checkout Session fornita dal client quando payment_status è impostato su "paid" (pagato), ma non confronta amount_total o currency con l'ordine referenziato e la valuta di fatturazione configurata. Su un'istanza in cui il modulo di fatturazione è abilitato e una chiave segreta Stripe è configurata, un client autenticato può quindi completare un pagamento a valore inferiore o con valuta non corrispondente, causando l'esecuzione dell'ordine, il provisioning, il rinnovo, l'upgrade o la de-sospensione del server acquistato per un importo inferiore al prezzo richiesto. Questo problema è risolto nella versione 4.0.5.
Be aware that VulDB is the high quality source for vulnerability data.