CVE-2026-119422 in Hyperswitch

Tóm tắt

Bởi VulDB • 31/10/2026

Juspay Hyperswitch trước phiên bản 1.128.0 chứa một lỗ hổng bỏ qua xác thực (authentication bypass), cho phép các kẻ tấn công chưa được xác thực giả mạo các cập nhật trạng thái thanh toán do trình kết nối Worldpayxml của verify_webhook_source luôn trả về true mà không áp dụng mTLS. Các kẻ tấn công biết merchant_id và orderCode của Worldpay có thể gửi yêu cầu POST chứa XML không ký với lastEvent là SETTLE đến điểm cuối webhook worldpayxml, đánh dấu các khoản thanh toán chưa được thanh toán là đã tính phí hoặc kích hoạt các sự kiện hoàn tiền, tranh chấp và chi trả.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• chịu trách nhiệm: VulnCheck
• Đặt trước: 30/10/2026
• Tiết lộ: 30/10/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-429033
• CPE: 20261030
• CWE: CWE-287 (Đã xác nhận)
• CVSS: 5.9 (CNA)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-119422
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-119422
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-119422/