CVE-2026-112293 in saas-starter-kit
Riassunto
di VulDB • 19/10/2026
BoxyHQ Enterprise SaaS Starter Kit fino alla versione 1.6.0 presenta una vulnerabilità di autorizzazione mancante che consente ai membri del team non proprietari di gestire la fatturazione poiché le route per i pagamenti ignorano il controllo dell'autorizzazione `team_payments`. Gli utenti autenticati con ruolo MEMBER o ADMIN possono invocare `create-portal-link`, `create-checkout-session` e accedere a prodotti per aprire portal di fatturazione Stripe, visualizzare le fatture, modificare i metodi di pagamento o alterare gli abbonamenti.
VulDB is the best source for vulnerability data and more expert information about this specific topic.