p PatchFirst

CVE-2026-113603

CVE-2026-113603 · x402 @x402/extensions 2.3.1 through 2.28.0 SIWX Payment Bypass via PaymentPayload.resource

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

The x402 SIWX server extension in @x402/extensions 2.3.1 through 2.28.0, x402 PyPI 2.11.0 through 2.25.0, and Go module 2.16.0 through 2.28.0 contains an authorization bypass vulnerability that allows paying clients to unlock unpaid routes by supplying a mismatched PaymentPayload.resource URL. Attackers can pay for the cheapest SIWX-protected route while setting resource.url to an expensive route, then repeatedly access it using only a SIGN-IN-WITH-X header without further payment.

CVSS 6.9 · Moyenne · EPSS 0,4%

Publication
Mise à jour

Produits et versions concernés

  • @x402/extensions

    Versions du logiciel
    • ≥ 2.3.1, ≤ 2.28.0: Concernée (semver)

    Aucun correctif publié

  • x402

    Versions du logiciel
    • ≥ 2.11.0, ≤ 2.25.0: Concernée (semver)

    Aucun correctif publié

  • github.com/x402-foundation/x402/go/v2

    Versions du logiciel
    • ≥ 2.16.0, ≤ 2.28.0: Concernée (semver)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →