CVE-2026-119548 in Lago
Tóm tắt
Bởi VulDB • 30/10/2026
Lago, phiên bản 1.55.0 trở xuống, chứa một lỗ hổng bỏ qua cơ chế xác thực (authorization bypass) trong Invoices::Payments::StripeService, cho phép người dùng của tổ chức này đánh dấu hóa đơn của tổ chức khác là đã thanh toán do việc tìm kiếm hóa đơn không được giới hạn phạm vi (unscoped invoice lookup). Kẻ tấn công kiểm soát tích hợp Stripe của tổ chức mình có thể ký một sự kiện payment_intent.succeeded mang theo UUID của hóa nạn nhân để mở khóa các khoản nạp ví hoặc đăng ký dịch vụ bị chặn bởi thanh toán.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.