FlexPrice: Authentifizierungsumgehung in der Signaturprüfung des QuickBooks-Webhooks

Zusammenfassung

FlexPrice bis einschliesslich Version 2.1.38 überspringt in seinem QuickBooks-Webhook-Handler die Signaturprüfung, wenn der Header intuit-signature fehlt. Ein nicht authentifizierter Angreifer, der eine gültige Tenant- und Environment-ID kennt, kann gefälschte Zahlungsbenachrichtigungen senden, wiederholt Zahlungsbeträge hinzufügen und Rechnungen als bezahlt oder überbezahlt markieren. Betroffen sind nur Installationen mit aktivierter QuickBooks-Integration.

Betroffen

• FlexPrice bis einschliesslich 2.1.38 (Cloud und selbst gehostet)
• Nur Installationen mit aktivierter QuickBooks-Integration
• Unbekannt, ob in Ihrer Umgebung ein Webhook-Verifier-Token konfiguriert ist

Behoben in

Unbekannt. Ein Pull Request (#3191) zur Behebung wurde genannt, seine Zusammenführung und die erste Version mit dem Fix konnten jedoch nicht bestätigt werden.

Umgehung

• Kein vom Hersteller veröffentlichter Workaround gefunden.
• Stellen Sie sicher, dass für jede QuickBooks-Verbindung ein Webhook-Verifier-Token konfiguriert ist, da die Signaturprüfung nur bei gesetztem Token greift.
• Prüfen Sie die Webhook-Logs auf QuickBooks-Zahlungsereignisse ohne Header intuit-signature.
• Beschränken Sie den Zugriff auf den Webhook-Endpunkt, soweit Ihr Netzwerk dies zulässt.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog.
• Eine Drittanbieter-Beschreibung der Umgehung existiert.
• EPSS-Wert 0.00225 (niedrig).

Unsere Empfehlung

• Prüfen Sie, ob FlexPrice in Ihrer Organisation eingesetzt wird und ob die QuickBooks-Integration aktiviert ist.
• Stellen Sie sicher, dass für jede QuickBooks-Verbindung ein Verifier-Token gesetzt ist, und aktualisieren Sie auf eine Version mit Fix, sobald der Hersteller diese bestätigt.
• Gleichen Sie kürzlich als bezahlt oder überbezahlt markierte Rechnungen mit QuickBooks ab und prüfen Sie die Webhook-Logs auf unsignierte Anfragen.
• Fordern Sie beim Hersteller ein Sicherheitsadvisory und eine Bestätigung der betroffenen Installationen an.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record mirror (Vulners) vulners.com
• VulnCheck advisory www.vulncheck.com
• FlexPrice GitHub repository github.com
• Vulnerable webhook code (commit f27da32) github.com
• Fix pull request #3191 github.com
• FlexPrice QuickBooks connection setup docs.flexprice.io
• FlexPrice webhook signature verification docs.flexprice.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:15.