CVE-2026-119420: falha de alta gravidade em getlago lago
Lago through 1.55.0 Authentication Bypass via acceptInvite GraphQL Mutation
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
21Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 8.7epss 0.4%
Lago through 1.55.0 contains an authentication bypass vulnerability that allows organization administrators to obtain session tokens for existing accounts via the acceptInvite mutation without a password check. Attackers can invite a victim's email, accept with an arbitrary password, and receive a JWT to access the victim's organizations, billing data, API keys and payment integrations.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
getlago · lagoCVEs relacionadas — getlago lago
No mesmo produto, das mais perigosas para as menos.
Referências
https://abraxaslabs.tech/research/lago-invite-atohttps://github.com/getlago/lago-apihttps://github.com/getlago/lago-api/blob/v1.55.0/app/services/invites/accept_service.rb#L15-L16https://github.com/getlago/lago-api/blob/v1.55.0/app/services/users_service.rb#L89-L98https://github.com/getlago/lago-api/commit/5a9d5935b027d1db7171c7c015283d5870451305https://github.com/getlago/lago-api/pull/6146https://www.vulncheck.com/advisories/lago-through-1.55.0-authentication-bypass-via-acceptinvite-graphql-mutation