CVE-2026-71537

Nome do Software Vulnerável e Versões Afetadas Paymenter versões anteriores a 1.5.7

Description Uma condição de corrida (race condition) existe na implementação de rebaixamento de serviço dentro da função doUpgrade() em app/Livewire/Services/Upgrade.php. A aplicação utiliza Service::upgradable para verificar atualizações pendentes e, posteriormente, executa $credit->increment('amount', abs($price)) para reembolsar créditos sem o uso de DB::transaction ou lockForUpdate(). Como essas operações não são isoladas ou bloqueadas, um cliente autenticado com um serviço passível de rebaixamento pode enviar requisições simultâneas que ignoram a verificação de segurança. Isso permite que o usuário gere múltiplos reembolsos de crédito para um único rebaixamento, inflando artificialmente o saldo gastável de sua conta.

Recommendations Atualizar para a versão 1.5.7.