DUPIN Alertas · CoopCyclehttps://alertas.dupin.com.ar/fabricante/coopcycle/Alertas de vulnerabilidades de CoopCycle.esWed, 04 Nov 2026 14:41:38 +000010Vulnerabilidad: CVE-2026-121620 · Falta de verificación de firma de webhooks de Zelty en CoopCycle coopcycle-webhttps://alertas.dupin.com.ar/cve/CVE-2026-121620/tg:63258Wed, 04 Nov 2026 14:41:38 +0000Vulnerabilidadcoopcycle-web no verifica la firma HMAC x-zelty-hmac-sha256, lo que permite a atacantes no autenticados falsificar eventos de webhook de Zelty mediante POST a /api/zelty/webhook/*. Pueden alternar productos de restaurantes y alterar estados de preparación de pedidos. Corregido en 6.20.0.Vulnerabilidad: CVE-2026-121945 · IDOR en el endpoint de incidentes de CoopCycle coopcycle-webhttps://alertas.dupin.com.ar/cve/CVE-2026-121945/tg:63246Wed, 04 Nov 2026 14:41:20 +0000VulnerabilidadLas operaciones sobre incidentes solo verifican ROLE_COURIER, por lo que cualquier repartidor puede leer y modificar todos los incidentes enumerando ids secuenciales. Con PUT /api/incidents/{id}/action puede cambiar precios, cancelar o reprogramar pedidos y tareas de otras tiendas. Corregido en 6.20.1.