CVE-2026-110765
CVE-2026-110765 · FlexPrice through 2.1.38 QuickBooks Webhook Signature Verification Bypass
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
FlexPrice through 2.1.38 contains an authentication bypass vulnerability in HandleQuickBooksWebhook that skips signature verification when the intuit-signature header is omitted. Unauthenticated attackers knowing a tenant and environment ID can replay forged payment notifications to repeatedly add payment amounts, marking invoices paid or overpaid.
CVSS 8.2 · Hoch · EPSS 0,2%
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
flexprice
- Softwareversionen
- ≥ 0, ≤ 2.1.38: Betroffen (semver)
Keine Korrektur veröffentlicht
Originalquellen
- https://hackmd.io/@hieuPenguinnn/flexprice-quickbooks-webhook-signature-bypass
- https://github.com/flexprice/flexprice/blob/f27da32f84ee34bad4bf39a8d887af87fc3f30fc/internal/api/v1/webhook.go#L750
- https://github.com/flexprice/flexprice
- https://www.vulncheck.com/advisories/flexprice-through-2.1.38-quickbooks-webhook-signature-verification-bypass
- https://nvd.nist.gov/vuln/detail/CVE-2026-110765