CVE-2026-72536
WysokieCVSS 8.6Streszczenie
Brak uwierzytelniania w Chaskiq do commita 46dfdd1 pozwala nieuwierzytelnionym atakującym manipulować subskrypcjami Stripe dowolnej dzierżawy (tenanta) poprzez mutację GraphQL stripeCreateIntent. Mutacja nie sprawdza uwierzytelnienia ani autoryzacji, co umożliwia tworzenie intencji płatności i zmianę rozliczeń bez poświadczeń.
Ocena ryzyka
Ryzyko nieautoryzowanych zmian w rozliczeniach i subskrypcjach klientów, co może prowadzić do strat finansowych i naruszenia zaufania.
Rekomendacja
Zaktualizuj Chaskiq do wersji po commicie 46dfdd1, w której dodano odpowiednie uwierzytelnianie i autoryzację dla mutacji GraphQL.
Oryginalny opis (angielski, źródło NVD)
A missing authentication vulnerability in Chaskiq through commit 46dfdd1 allows unauthenticated remote attackers to manipulate any tenant Stripe subscription via the stripeCreateIntent GraphQL mutation. The mutation lacks authentication and authorization checks, exposing Stripe payment intent creation to unauthenticated callers. An attacker can create payment intents and alter billing for any tenant without credentials.