CVE-2026-112293 in saas-starter-kit
Сводка
по VulDB • 19.10.2026
BoxyHQ Enterprise SaaS Starter Kit до версии 1.6.0 содержит уязвимость отсутствия авторизации (missing authorization), которая позволяет членам команды, не являющимся владельцами, управлять биллингом, поскольку маршруты оплаты пропускают проверку разрешения team_payments. Аутентифицированные пользователи с ролями MEMBER или ADMIN могут вызывать create-portal-link, create-checkout-session и products для открытия порталов биллинга Stripe, просмотра счетов, изменения способов оплаты или изменения подписок.
VulDB is the best source for vulnerability data and more expert information about this specific topic.