CVE-2026-55219

Paymenter hostinq xidmətlərinin idarə edilməsi üçün pulsuz və açıq mənbəli veb-mağaza həllidir. 1.5.5-dən əvvəlki versiyalarda app/Livewire/Invoices/Show.php faylında kredit ödənişinin tətbiqi aktiv verilənlər bazası tranzaksiyasından kənarda pessimist sətir kilidini (lockForUpdate()) icra edir. MySQL/MariaDB sətir səviyyəsində kilidlərin tətbiqi üçün əhatə edən tranzaksiya tələb etdiyindən, bu qoruyucu təsirsizdir. Eyni vaxtda göndərilən ödəniş sorğuları bu yarış vəziyyətindən istifadə edərək eyni kredit balansını eyni vaxtda oxuya bilər və istifadəçilərə eyni kredit balansı ilə bir neçə fakturanı ödəməyə imkan verir. MySQL kimi verilənlər bazası sistemlərində sətir kilidi yalnız rəsmi tranzaksiya daxilində işləyir; tranzaksiya olmadıqda kilid tamamilə nəzərə alınmır. Aktiv kilid olmadığından, eyni millisaniyədə göndərilən iki ödəniş sorğusu verilənlər bazasına eyni vaxtda baxa bilər. Hər iki sorğu ilkin kredit balansını görür, onun kifayət etdiyini qərar verir və ödənişi təsdiqləyir. Ödəniş ExtensionHelper::addPayment() vasitəsilə uğurla həyata keçirildiyindən, tətbiq müvafiq xidmətləri və ya rəqəmsal malları təmin edir və bu, platformaya birbaşa maliyyə və ya resurs itkisi ilə nəticələnir. Bu problem 1.5.5 versiyasında düzəldilmişdir.