mppx has Stripe charge credential replay via missing idempotency check
Impact
The stripe/charge payment method did not check Stripe's Idempotent-Replayed response header when creating PaymentIntents. An attacker could replay a valid credential containing the same spt token against a new challenge, and the server would accept the replayed Stripe PaymentIntent as a new successful payment without actually charging the customer again. This allowed an attacker to pay once and consume unlimited resources by replaying the credential.
Patches
Fixed in 0.4.11. The server now checks the Idempotent-Replayed header and rejects replayed PaymentIntents.
Workarounds
There are no workarounds available for this vulnerability.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| npm-Paket | mppx | < 0.4.11 | 0.4.11 |
Verweise
- https://github.com/wevm/mppx/security/advisories/GHSA-8mhj-rffc-rcvw
- https://nvd.nist.gov/vuln/detail/CVE-2026-34210
- https://github.com/wevm/mppx/commit/b2b1a0b60506fc71aa80b8a025084949dca1a994
- https://github.com/wevm/mppx
- https://github.com/wevm/mppx/releases/tag/mppx%400.4.11
- https://github.com/wevm/mppx/releases/tag/mppx@0.4.11
- CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N- Schwäche (CWE)
CWE-697- Plattform
- npm
- Paket
mppx- Veröffentlicht
- 29.03.2026
- Aktualisiert
- 11.10.2026 10:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-8mhj-rffc-rcvw - CC BY 4.0
Schwachstellenhistorie: mppx
Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 5
- Erste → letzte
- 03.2026 09.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 1
- Hoch 1
- Mittel 3
Veröffentlichungen pro Jahr
- 2026: 5
-
mppx has Stripe charge credential replay via missing idempotency check dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.