جزئیات آسیب‌پذیری
CVE-2026-119422
juspay hyperswitch
Hyperswitch before 1.128.0 Webhook Authentication Bypass via Worldpayxml Connector
CVSS 4.0
8.2بالا
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
Juspay Hyperswitch before 1.128.0 contains an authentication bypass vulnerability that allows unauthenticated attackers to forge payment status updates because the Worldpayxml connector's verify_webhook_source always returns true without enforced mTLS. Attackers knowing the merchant_id and Worldpay orderCode can POST unsigned XML with lastEvent SETTLED to the worldpayxml webhook endpoint, marking unpaid payments as charged or triggering refund, dispute and payout events.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.2بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N |
| 5.9متوسط | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| juspay | hyperswitch | v < 1.128.0 | CVEProject cvelistV5 (CNA) |
| juspay | hyperswitch | v < 2026.10.01.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۷- https://github.com/juspay/hyperswitch/commit/681cf96bbc888239daf669a71b0554e934210ee3 patch
- https://github.com/juspay/hyperswitch/commit/e797b36a1af204f4e4820c4938c6e4b10e9ae4fa patch
- https://github.com/juspay/hyperswitch/blob/v1.127.0/crates/hyperswitch_connectors/src/connectors/worldpayxml.rs#L1391-L1392 technical-description
- https://github.com/juspay/hyperswitch/releases/tag/v1.128.0 release-notes
- https://abraxaslabs.tech/research/hyperswitch-unsigned-webhook third-party-advisory
- https://github.com/juspay/hyperswitch product
- https://www.vulncheck.com/advisories/hyperswitch-before-1.128.0-webhook-authentication-bypass-via-worldpayxml-connector third-party-advisory
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۰۸
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۰۸
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- VulnCheck
- اولویت کلون
- به‌زودی
پیش‌بینی بهره‌برداری (EPSS)
۰٫۲۳٪
احتمال بهره‌برداری در ۳۰ روز
۱۴٫۸٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- Automatable
- no
- Exploitation
- none
- Technical Impact
- partial
ضعف‌ها (CWE)
- CWE-345Insufficient Verification of Data Authenticity