CVE-2026-107854

ŚrednieCVSS 5.4

Opublikowano: 09/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 10/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Jexactyl to konfigurowalny panel do zarządzania grami i system rozliczeniowy. Od wersji 4.0.0 do 4.0.5 endpoint POST /api/client/billing/free/process akceptuje kontrolowany przez klienta server_id i ładuje serwer bez ograniczania wyszukiwania do serwerów należących do uwierzytelnionego konta. W instalacjach z włączonym rozliczaniem uwierzytelniony użytkownik może odnowić lub wznowić rozliczany serwer innego dzierżawcy, gdy jego renewal_date jest niepuste i przypada więcej niż siedem dni w przyszłości, nawet bez relacji podużytkownika do tego serwera. Problem został naprawiony w wersji 4.0.5.

Ocena ryzyka

Uwierzytelniony użytkownik może wpływać na serwery innych dzierżawców, co może prowadzić do nieautoryzowanych zmian w rozliczeniach i zakłóceń w usługach.

Rekomendacja

Zaktualizuj Jexactyl do wersji 4.0.5 lub nowszej.

Inne podatności w Jexactyl

CVE-2026-107852Wysokie
Jexactyl w wersjach przed 4.0.5 — endpoint POST /api/client/billing/stripe/process akceptuje sesję Stripe Checkout dostarczoną przez klienta, gdy payment_status ma wartość paid, ale nie porównuje amount_total ani waluty z zamówieniem i skonfigurowaną walutą rozliczeniową. Uwierzytelniony klient może opłacić niższą kwotą lub w niezgodnej walucie i doprowadzić do realizacji zamówienia. Problem naprawiono w wersji 4.0.5.

Oryginalny opis (angielski, źródło NVD)

Jexactyl is a customisable game management panel and billing system. From 4.0.0 until 4.0.5, the POST /api/client/billing/free/process endpoint accepts a client-controlled server_id and loads the server without restricting the lookup to servers owned by the authenticated account. On installations with billing enabled, an authenticated user can renew or unsuspend another tenant's billable server when its renewal_date is non-null and more than seven days away, even without a subuser relationship to that server. This issue is fixed in version 4.0.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS