CVE-2026-119036
Niskie ryzyko· EPSS 7%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Business::GoCardless w wersjach przed 1.01 dla Perla pozwala na wyczerpanie pamięci przez spłaszczanie ładunków starszych webhooków przed sprawdzeniem ich podpisu. Ładunek z kluczem najwyższego poziomu "payload" jest spłaszczany do par klucz-wartość, gdzie długi klucz z długą tablicą kosztuje pamięć proporcjonalną do iloczynu ich długości.
Ocena ryzyka
Zdalny atakujący może wyczerpać pamięć procesu odbierającego webhooki pojedynczym żądaniem bez ważnego podpisu.
Rekomendacja
Zaktualizuj Business::GoCardless do wersji 1.01 lub nowszej.
Inne podatności w Business::GoCardless
Zobacz wszystkie- CVE-2026-119038Niskie ryzyko· EPSS 6%
Business::GoCardless w wersjach przed 1.01 dla Perla kończy przepływy przekierowania bez sprawdzania tokenu sesji, pozwalając na utworzenie płatności wobec mandatu innego klienta przy użyciu ujawnionego identyfikatora przepływu. confirm_resource nie pobiera tokenu sesji od wywołującego i zawsze akceptuje przepływ, a od wersji 1.00 przepływ z mandatem jest zwracany jako potwierdzony bez ponownego kończenia.
- CVE-2026-119037Niskie ryzyko· EPSS 2%
Business::GoCardless w wersjach przed 1.01 dla Perla akceptuje sfałszowane webhooki, gdy skonfigurowany sekret webhooka jest undef lub pusty. signature_valid używa każdego sekretu jako klucza HMAC, a Digest::SHA traktuje undef i pusty ciąg jako pusty klucz.
Oryginalny opis (angielski, źródło NVD)
Business::GoCardless versions before 1.01 for Perl allow memory exhaustion by flattening legacy webhook payloads before checking their signature. A webhook body with a top-level "payload" key is verified as a legacy webhook. To rebuild the signed string, the payload is flattened into one key and value pair per leaf, each key carrying the full path to that leaf, and the pairs are then encoded, sorted and joined. A long key holding a long array costs memory proportional to the key length times the array length. A remote attacker can exhaust memory in the process receiving webhooks with a single request that carries no valid signature.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS