PT-2026-133527
CVE-2026-119038
·
Publicado
2026-10-30
·
Atualizado
2026-10-30
Descrição por
Pontuação
N/A
Não disponívelNão há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do Software Vulnerável e Versões Afetadas
Business::GoCardless versões anteriores a 1.01
Descrição
Este problema permite que um invasor remoto que obtenha o ID de fluxo de redirecionamento de um cliente crie pagamentos ou assinaturas contra o mandato desse cliente. A função
confirm resource() não verifica o token de sessão do chamador. Em vez disso, ela recupera o fluxo de redirecionamento da API do GoCardless e o completa usando o token daquela resposta, fazendo com que a verificação de sessão sempre passe. Na versão 1.00, se um fluxo já possui um mandato, ele é retornado como confirmado sem ser completado novamente, permitindo que o mesmo ID gere um novo pagamento a cada chamada.Recomendações
Atualize o Business::GoCardless para a versão 1.01 ou posterior.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾