- Son 7 gün
- CWE-288
CVE-2026-119420
Lago through 1.55.0 Authentication Bypass via acceptInvite GraphQL Mutation
Yüksek
8,8
CVSS 3.1
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.
Lago through 1.55.0 contains an authentication bypass vulnerability that allows organization administrators to obtain session tokens for existing accounts via the acceptInvite mutation without a password check. Attackers can invite a victim's email, accept with an arbitrary password, and receive a JWT to access the victim's organizations, billing data, API keys and payment integrations.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| getlago lago | ≤ 1.55.0 | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/5a9d5935b027d1db7171c7c015283d5870451305 Yama
- github.com/getlago/lago-api/pull/6146 Yama
- abraxaslabs.tech/research/lago-invite-ato Üçüncü taraf
- vulncheck.com/…ation-bypass-via-acceptinvite-graphql-mutation Üçüncü taraf
- github.com/…api/blob/v1.55.0/app/services/users_service.rb Diğer
- github.com/…v1.55.0/app/services/invites/accept_service.rb Diğer
- github.com/getlago/lago-api Diğer
Kayıt geçmişi
- Yayımlandı