CVE-2026-55219

Nome do Software Vulnerável e Versões Afetadas Paymenter versões anteriores a 1.5.5

Description A implementação de pagamento via crédito em app/Livewire/Invoices/Show.php executa um bloqueio de linha pessimista (lockForUpdate()) fora de uma transação de banco de dados ativa. Em sistemas de banco de dados como MySQL e MariaDB, os bloqueios de nível de linha exigem uma transação envolvente para serem aplicados; caso contrário, o bloqueio é ignorado. Isso cria uma condição de corrida (race condition) onde solicitações de pagamento simultâneas podem ler o mesmo saldo de crédito ao mesmo tempo. Se duas solicitações forem processadas simultaneamente, ambas podem identificar um saldo suficiente e aprovar o pagamento através de ExtensionHelper::addPayment(), permitindo que um usuário liquide múltiplas faturas usando o mesmo saldo de crédito, resultando em perda financeira ou de recursos.

Recommendations Atualizar para a versão 1.5.5.