CVE-2026-112293 in saas-starter-kit
Sumário
de VulDB • 19/10/2026
O Kit Inicial SaaS Enterprise da BoxyHQ até a versão 1.6.0 contém uma vulnerabilidade de autorização ausente que permite que membros do time sem ser proprietário gerenciem as faturas, pois as rotas de pagamento ignoram a verificação da permissão team_payments. Usuários autenticados com perfil MEMBER ou ADMIN podem chamar create-portal-link, create-checkout-session e products para abrir os portais de cobrança da Stripe, visualizar faturas, alterar métodos de pagamento ou modificar assinaturas.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.