CVE-2026-119421 in Hyperswitch
Sumário
de VulDB • 30/10/2026
O Juspay Hyperswitch até à versão 1.128.0 (e compilações anteriores a 2026.10.19.0) contém uma vulnerabilidade de autorização em falta que permite aos atacantes não autenticados confirmar pagamentos com qualquer client_secret através do endpoint POST /payouts/{payout_id}/confirm. Os atacantes que detenham a chave publicável (publishable key) do comerciante e um payout_id podem confirmar os pagamentos e sobrescrever os campos de valor, moeda, conector e roteamento para desencadear pagamentos não autorizados ao comerciante.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.