CVE-2026-113799
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Biblioteka klienta Slack Morphism w wersjach 1.0.0–2.27.0 ujawnia poprawny HMAC żądania Slack, gdy weryfikacja podpisu się nie powiedzie. Dla nieprawidłowego żądania biblioteka oblicza poprawny podpis dla kontrolowanego przez atakującego znacznika czasu i treści i zapisuje go w SlackEventWrongSignatureError.generated_hash, a domyślny handler błędów Axum loguje tę wartość. Atakujący mogący dotrzeć do endpointu callback i czytać logi może użyć weryfikatora jako oracle HMAC i w ciągu pięciu minut odesłać żądanie z poprawnym podpisem.
Ocena ryzyka
Atakujący z dostępem do logów aplikacji może obejść weryfikację podpisu Slack i dotrzeć do chronionego callbacku bez znajomości sekretu podpisywania. Umożliwia to nieautoryzowane wywołania chronionej logiki aplikacji.
Rekomendacja
Zaktualizuj Slack Morphism do wersji 2.28.0 lub nowszej. Ogranicz dostęp do logów aplikacji i rozważ wyłączenie logowania wartości generated_hash.
Powiązane podatności
- CVE-2026-54143Krytyczne
W OpenHuman przed wersją 0.57.13 atakujący mogący wysyłać wiadomości do skonfigurowanego kanału zewnętrznego może zmusić agenta do utworzenia trwałych zadań cron powłoki bez zatwierdzenia przez człowieka. Walidacja poleceń pozwala też na wiodące przypisania zmiennych środowiskowych przekierowujące dozwolone polecenia do pomocniczych programów wykonywalnych.
- CVE-2026-54141Krytyczne
W OpenHuman przed wersją 0.57.13 wiadomość bezpośrednia odebrana przez kanał Yuanbao jest przekształcana w żądanie AgentTurnRequest bez kontekstu interaktywnego zatwierdzenia. ApprovalGate traktuje brak APPROVAL_CHAT_CONTEXT jako turę nieinteraktywną i zezwala na wykonanie node_exec, mimo że domyślna polityka Supervised wymaga zatwierdzenia.
- CVE-2026-119344Krytyczne
Cocos AI w wersji 0.8.2 i wcześniejszych akceptuje dowody atestacji środowiska zaufanego wykonania (TEE), gdy poziomy poprawek firmware i pomiary oprogramowania są zgodne, bez powiązania dowodów z dozwolonym właścicielem platformy lub unikalną tożsamością maszyny oraz bez wymuszania unieważnienia. Zdalny atakujący kontrolujący inną platformę zaufaną przez tego samego weryfikatora może podstawić ważne dowody z tej platformy i spowodować autoryzację niewłaściwej platformy. Podatność naprawiono w wersji 0.9.0, ale nie da się jej w pełni załatać wyłącznie w kodzie źródłowym, ponieważ wynika z samego modelu zagrożeń obliczeń poufnych.
- CVE-2026-83542Krytyczne
W Apache OFBiz 24.09 przed 24.09.08 wykryto podatność Code Injection. Zdalny nieuwierzytelniony atakujący może wykonać dowolny kod na serwerze poprzez przygotowanie złośliwego XML widgetu w uploadzie multipart i nadpisanie mainDecoratorLocation, co prowadzi do oceny niesandboxowanego wyrażenia Groovy.
- CVE-2026-82907Krytyczne
Obejście uwierzytelniania przez powtórzenie przechwyconego klucza w ExternalLoginKeysManager w Apache OFBiz 24.09 przed 24.09.08 pozwala nieuwierzytelnionemu atakującemu, który przechwyci aktywny externalLoginKey, na uzyskanie pełnej sesji jako użytkownik, który go wydał, we wszystkich aplikacjach, ponieważ klucz jest akceptowany jako poświadczenie bearer bez powiązania z klientem, nie wygasa i nie jest unieważniany po użyciu.
- CVE-2026-117691Krytyczne
W implementacji wiązania SAML HTTP-Redirect w Keycloak występuje luka polegająca na tym, że serwer przetwarza nazwy parametrów zakodowane procentowo (np. %53AMLResponse), podczas gdy logika weryfikacji podpisu sprawdza tylko literalne nazwy parametrów. Atakujący może wykorzystać tę rozbieżność, dostarczając spreparowaną, niepodpisaną wiadomość SAML, którą serwer przetwarza zamiast legalnie podpisanej, co prowadzi do pełnego przejęcia konta użytkowników sfederowanych.
- CVE-2026-96677Krytyczne
Podatność Cross-site Scripting (XSS) w Apache Juneau. Serializacja dokumentów HTML nie koduje podstawień zmiennych w elementach szablonu strony (nagłówek, nawigacja, stopka itp.), więc aplikacje, które umieszczają tam dane z żądania, odzwierciedlają je bez kodowania.
- CVE-2026-73117Krytyczne
Podatność HTTP Response Splitting (wstrzykiwanie CRLF w nagłówkach HTTP) w Apache Juneau. Serwer REST przekazywał wartości nagłówków odpowiedzi i cele przekierowań do kontenera serwletów bez walidacji, co przy danych z żądania mogło pozwolić na wstrzyknięcie nagłówków lub przekierowanie na dowolną witrynę.
- CVE-2026-73116Krytyczne
Podatność niewystarczającej ochrony poświadczeń w Apache Juneau. Klient RestClient podążał za przekierowaniami HTTP, zachowując nagłówki poświadczeń z pierwotnego żądania, więc serwer przekierowujący na inny host, port lub z HTTPS na HTTP mógł otrzymać nagłówki Authorization, Cookie, Proxy-Authorization i X-API-Key.
- CVE-2026-73101Krytyczne
Podatność ujawniania informacji wrażliwych w komunikatach błędów w Apache Juneau. Serwer REST wysyła klientom klasę i treść wewnętrznego wyjątku w nagłówku odpowiedzi "Thrown" przy każdym błędzie oraz może umieszczać wewnętrzne komunikaty wyjątków w treści błędu, nawet przy wyłączonym renderowaniu stosu.
Oryginalny opis (angielski, źródło NVD)
Slack Morphism is a client library for Slack Web/Events API/Socket Mode and Block Kit. Versions 1.0.0 through 2.27.0 expose the correct Slack request HMAC when signature verification fails. For an invalid request, `slack-morphism` computes the correct signature for the attacker-controlled timestamp and request body and stores it in `SlackEventWrongSignatureError.generated_hash`. The error's `Debug` and `Display` representations expose that value, and the default Axum listener error handler logs it at error level. An attacker who can both reach the application's Slack callback endpoint and read its application/service logs can therefore use the verifier as a chosen-message HMAC oracle. The attacker can send an arbitrary request with an invalid signature, recover the correct signature from the resulting log entry, and resend the same request within the five-minute freshness window. The second request passes Slack Morphism's signature verification and reaches the protected application callback without the attacker knowing the Slack signing secret. Version 2.28.0 patches the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS