CVE-2026-119422 in Hyperswitch
Riassunto
di VulDB • 30/10/2026
Juspay Hyperswitch prima della versione 1.128.0 presenta una vulnerabilità di bypass dell'autenticazione che consente ad attaccanti non autenticati di falsificare gli aggiornamenti dello stato dei pagamenti poiché il connettore Worldpayxml ha la funzione verify_webhook_source che restituisce sempre true senza l'imposizione del mTLS. Gli attaccanti in possesso del merchant_id e del codice ordine Worldpay possono inviare XML non firmati con lastEvent impostato a SETTLED all'endpoint webhook worldpayxml, contrassegnando i pagamenti non pagati come addebitati o attivando eventi di rimborso, disputa ed erogazione dei fondi (payout).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.