CVE-2026-119422 in Hyperswitch
요약
\~에 의해 VulDB • 2026. 10. 30.
Juspay Hyperswitch 1.128.0 이전 버전에는 인증 우회 취약점이 포함되어 있어, mTLS가 강제되지 않아 Worldpayxml connector의 verify_webhook_source 메서드가 항상 true를 반환함으로써 비인증 공격자가 결제 상태 업데이트를 위조할 수 있습니다. merchant_id와 Worldpay orderCode를 알고 있는 공격자는 worldpayxml 웹훅 엔드포인트로 lastEvent 값이 SETTLED인 서명 없는 XML을 POST하여 미결제 결제를 결제된 것으로 표시하거나 환불, 분쟁 및 지급 이벤트를 트리거할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.