CVE-2026-4547
Publiée le 2026-03-22 · Dernière modification le 2026-06-17
Les utilisateurs de `next-saas-stripe-starter` (version 1.0.0) sont concernés par une faille dans la manière dont le gestionnaire de paiement traite les identifiants de prix. Un attaquant authentifié peut manipuler à distance l'argument `priceId` pour déclencher des erreurs de logique métier, ce qui pourrait lui permettre de modifier le coût d'un abonnement ou d'un achat. Cette opération est relativement simple à exécuter car elle ne nécessite que des identifiants d'utilisateur standard et un accès réseau, sans aucune interaction supplémentaire de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A security vulnerability has been detected in mickasmt next-saas-stripe-starter 1.0.0. Affected is the function generateUserStripe of the file actions/generate-user-stripe.ts of the component Checkout Handler. The manipulation of the argument priceId leads to business logic errors. The attack may be initiated remotely.