CVE-2026-107852

WysokieCVSS 7.1

Opublikowano: 09/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 10/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Jexactyl w wersjach przed 4.0.5 — endpoint POST /api/client/billing/stripe/process akceptuje sesję Stripe Checkout dostarczoną przez klienta, gdy payment_status ma wartość paid, ale nie porównuje amount_total ani waluty z zamówieniem i skonfigurowaną walutą rozliczeniową. Uwierzytelniony klient może opłacić niższą kwotą lub w niezgodnej walucie i doprowadzić do realizacji zamówienia. Problem naprawiono w wersji 4.0.5.

Ocena ryzyka

Atakujący może uzyskać serwer, odnowienie, ulepszenie lub wznowienie usługi za kwotę niższą niż wymagana, powodując straty finansowe. Ryzyko dotyczy instancji z włączonym modułem rozliczeń i skonfigurowanym kluczem Stripe.

Rekomendacja

Zaktualizuj Jexactyl do wersji 4.0.5 lub nowszej. Do czasu aktualizacji rozważ wyłączenie modułu rozliczeń.

Inne podatności w Jexactyl

CVE-2026-107854Średnie
Jexactyl to konfigurowalny panel do zarządzania grami i system rozliczeniowy. Od wersji 4.0.0 do 4.0.5 endpoint POST /api/client/billing/free/process akceptuje kontrolowany przez klienta server_id i ładuje serwer bez ograniczania wyszukiwania do serwerów należących do uwierzytelnionego konta. W instalacjach z włączonym rozliczaniem uwierzytelniony użytkownik może odnowić lub wznowić rozliczany serwer innego dzierżawcy, gdy jego renewal_date jest niepuste i przypada więcej niż siedem dni w przyszłości, nawet bez relacji podużytkownika do tego serwera. Problem został naprawiony w wersji 4.0.5.

Oryginalny opis (angielski, źródło NVD)

Jexactyl is a customisable game management panel and billing system. Prior to 4.0.5, the POST /api/client/billing/stripe/process endpoint accepts a client-supplied Stripe Checkout Session when payment_status is paid but does not compare amount_total or currency with the referenced order and configured billing currency. On an instance where the billing module is enabled and a Stripe secret key is configured, an authenticated client can therefore complete a lower-value or mismatched-currency payment and cause the order to be processed, provisioning, renewing, upgrading, or unsuspending the purchased server for less than the required price. This issue is fixed in version 4.0.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS