p PatchFirst

CVE-2026-113603

CVE-2026-113603 · x402 @x402/extensions 2.3.1 through 2.28.0 SIWX Payment Bypass via PaymentPayload.resource

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

The x402 SIWX server extension in @x402/extensions 2.3.1 through 2.28.0, x402 PyPI 2.11.0 through 2.25.0, and Go module 2.16.0 through 2.28.0 contains an authorization bypass vulnerability that allows paying clients to unlock unpaid routes by supplying a mismatched PaymentPayload.resource URL. Attackers can pay for the cheapest SIWX-protected route while setting resource.url to an expensive route, then repeatedly access it using only a SIGN-IN-WITH-X header without further payment.

CVSS 6.9 · Mittel · EPSS 0,4%

Veröffentlicht
Aktualisiert

Betroffene Produkte und Versionen

  • @x402/extensions

    Softwareversionen
    • ≥ 2.3.1, ≤ 2.28.0: Betroffen (semver)

    Keine Korrektur veröffentlicht

  • x402

    Softwareversionen
    • ≥ 2.11.0, ≤ 2.25.0: Betroffen (semver)

    Keine Korrektur veröffentlicht

  • github.com/x402-foundation/x402/go/v2

    Softwareversionen
    • ≥ 2.16.0, ≤ 2.28.0: Betroffen (semver)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →