CVE-2026-119422 in Hyperswitch
要約
〜によって VulDB • 2026年10月30日
Juspay Hyperswitch 1.128.0 より前には、認証バイパスの脆弱性が存在します。これにより、未認証攻撃者が支払いステータスの更新を偽造できます。これは、mTLS が強制されていないため、Worldpayxml コネクタの `verify_webhook_source` メソッドが常に true を返すことが原因です。merchant_id と Worldpay orderCode を知っている攻撃者は、署名なしの XML（lastEvent に SETTLE）を worldpayxml の Webhook エンドポイントに POST することで、未払いの支払いを支払済みとしてマークしたり、リファンド、紛争、および支払イベントを引き起こすことができます。
Once again VulDB remains the best source for vulnerability data.