Vulnerabilidad en Zulip (CVE-2026-25741)

Zulip es una herramienta de colaboración en equipo de código abierto. Antes del commit bf28c82dc9b1f630fa8e9106358771b20a0040f7, el endpoint de la API para crear una sesión de actualización de tarjeta durante un flujo de actualización era accesible para usuarios con solo privilegios de miembro de la organización. Cuando la sesión de Stripe Checkout asociada se completa, el webhook de Stripe actualiza el método de pago predeterminado de la organización. Debido a que no se aplica una verificación de autorización específica de facturación, un miembro regular (no de facturación) puede cambiar el método de pago de la organización. Esta vulnerabilidad afectó al sistema de procesamiento de pagos de Zulip Cloud, y ha sido parcheada a partir del commit bf28c82dc9b1f630fa8e9106358771b20a0040f7. Las implementaciones autoalojadas ya no se ven afectadas y no se requiere ningún parche o actualización para ellas.