FICHE CVE

CVE-2026-18029

Publiée le 2026-07-28 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les systèmes utilisant l'intégration de paiement GiroCheckout sont affectés par une faille dans la manière dont les réponses sur le statut du paiement sont validées. Un attaquant peut réutiliser une seule confirmation de paiement réussie pour débloquer plusieurs billets, contournant ainsi le paiement de commandes supplémentaires. Cela nécessite un accès réseau et un effort technique important pour manipuler les réponses, mais peut être réalisé sans aucune authentification préalable.

CVSS 4.06.3 MOYENNE

Type de faiblesse

CWE-841

Publiée2026-07-28

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

655498c3-6ec5-4f0b-aea6-853b334d05a6

Description officielle du NVD (en anglais)

Our payment integration with GiroCheckout did not properly validate payment status responses. An attacker could use a successful payment status response from one payment and supply it to the system for a different payment, gaining access to multiple valid tickets with only one payment.