目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-107852— Jexactyl Stripe 支付确认绕过货币/金额不匹配

一分钟漏洞结论

影响对象
Jexactyl Jexactyl
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Jexactyl 是一款可定制的游戏管理面板和计费系统。在 4.0.5 版本之前，POST /api/client/billing/stripe/process 端点在接受客户端提供的 Stripe 结账会话时，即使支付状态（payment_status）为“已支付”，也不会将订单中的总金额（amount_total）和货币类型与订单引用及配置的计费货币进行比较。因此，在启用了计费模块并配置了 Stripe 密钥的实例上，经过身份验证的客户端可以完成金额更低或货币不匹配的支付，从而使订单被处理，并以低于所需价格的价

CVSS 7.1 · High
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-107852 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Jexactyl: Stripe checkout confirmation accepts mismatched-currency/amount payments as full payment (payment forgery)
来源: CVE Program / CVE List V5
Vulnerability Description
Jexactyl is a customisable game management panel and billing system. Prior to 4.0.5, the POST /api/client/billing/stripe/process endpoint accepts a client-supplied Stripe Checkout Session when payment_status is paid but does not compare amount_total or currency with the referenced order and configured billing currency. On an instance where the billing module is enabled and a Stripe secret key is configured, an authenticated client can therefore complete a lower-value or mismatched-currency payment and cause the order to be processed, provisioning, renewing, upgrading, or unsuspending the purchased server for less than the required price. This issue is fixed in version 4.0.5.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
对数据真实性的验证不充分
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
Jexactyl Jexactyl < 4.0.5 -

二、漏洞 CVE-2026-107852 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-107852 的情报信息

请登录查看更多情报信息。

CVE-2026-107852 补丁与修复 (1)

CVE-2026-107852 厂商安全公告 (1)

CVE-2026-107852 厂商页面 (1)

IV. Related Vulnerabilities

Same product: Jexactyl
Same vendor: Jexactyl
Same weakness: CWE-345

V. Comments for CVE-2026-107852

暂无评论

发表评论