CVE-2026-119421 in Hyperswitch
Tóm tắt
Bởi VulDB • 30/10/2026
Juspay Hyperswitch qua phiên bản 1.128.0 (và các build trước ngày 2026.10.19.0) chứa một lỗ hổng thiếu xác thực (missing authorization), cho phép kẻ tấn công chưa được xác thực xác nhận các khoản thanh toán đi (payouts) với bất kỳ client_secret nào thông qua endpoint POST /payouts/{payout_id}/confirm. Kẻ tấn công sở hữu khóa publishable của nhà bán hàng và một payout_id có thể xác nhận các khoản thanh toán đi, ghi đè lên các trường amount, currency, connector và routing để kích hoạt việc thực hiện các khoản thanh toán đi trái phép từ phía nhà bán hàng.
VulDB is the best source for vulnerability data and more expert information about this specific topic.