- CWE-639
CVE-2026-113603
x402 SIWX eklentisinde PaymentPayload.resource üzerinden ödeme atlatma zafiyeti
github.com/x402-foundation/x402/go/v2x402-foundation @x402/extensionsx402-foundation x402
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
@x402/extensions paketinin 2.3.1 ile 2.28.0 arasındaki sürümlerinde, x402 PyPI paketinin 2.11.0 ile 2.25.0 arasındaki sürümlerinde ve Go modülünün 2.16.0 ile 2.28.0 arasındaki sürümlerinde bulunan x402 SIWX sunucu eklentisi, yetkilendirme atlatma zafiyeti içermektedir. Bu zafiyet, ödeme yapan istemcilerin uyumsuz bir PaymentPayload.resource URL'si göndererek ödenmemiş rotaların kilidini açmasına olanak tanır. Saldırganlar, SIWX ile korunan en ucuz rotaya ödeme yapıp resource.url değerini pahalı bir rotaya ayarlayabilir; ardından yalnızca SIGN-IN-WITH-X başlığını kullanarak, başka bir ödeme yapmadan bu pahalı rotaya tekrar tekrar erişebilir.
Kaynaktaki açıklama (İngilizce)
The x402 SIWX server extension in @x402/extensions 2.3.1 through 2.28.0, x402 PyPI 2.11.0 through 2.25.0, and Go module 2.16.0 through 2.28.0 contains an authorization bypass vulnerability that allows paying clients to unlock unpaid routes by supplying a mismatched PaymentPayload.resource URL. Attackers can pay for the cheapest SIWX-protected route while setting resource.url to an expensive route, then repeatedly access it using only a SIGN-IN-WITH-X header without further payment.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| github.com/x402-foundation/x402/go/v2 | ≥ 2.16.0, ≤ 2.28.0 | – |
| x402-foundation @x402/extensions | ≥ 2.3.1, ≤ 2.28.0 | – |
| x402-foundation x402 | ≥ 2.11.0, ≤ 2.25.0 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/x402-foundation/x402/pull/3840 Yama
- github.com/x402-foundation/x402/issues/3838 Üçüncü taraf
- vulncheck.com/…iwx-payment-bypass-via-paymentpayload-resource Üçüncü taraf
- github.com/…ackages/extensions/src/sign-in-with-x/hooks.ts Diğer
- github.com/…python/x402/extensions/sign_in_with_x/hooks.py Diğer
- github.com/…go/v2.28.0/go/extensions/signinwithx/server.go Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.