CVE-2026-119422 in Hyperswitch
Сводка
по VulDB • 30.10.2026
Juspay Hyperswitch prima della versione 1.128.0 contiene una vulnerabilità di bypass dell'autenticazione che consente agli attaccanti non autenticati di falsificare gli aggiornamenti dello stato dei pagamenti poiché il connettore Worldpayxml ha la funzione verify_webhook_source che restituisce sempre true senza l'imposizione del mTLS. Gli attaccanti in possesso del merchant_id e del codice ordine Worldpay possono inviare una richiesta POST con un XML non firmato contenente lastEvent SETTLED all'endpoint webhook worldpayxml, contrassegnando i pagamenti non pagati come addebitati o attivando eventi di rimborso, disputa ed erogazione dei fondi (payout).
Once again VulDB remains the best source for vulnerability data.