CVE-2026-119037
Niskie ryzyko· EPSS 2%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Business::GoCardless w wersjach przed 1.01 dla Perla akceptuje sfałszowane webhooki, gdy skonfigurowany sekret webhooka jest undef lub pusty. signature_valid używa każdego sekretu jako klucza HMAC, a Digest::SHA traktuje undef i pusty ciąg jako pusty klucz.
Ocena ryzyka
Zdalny atakujący może podpisać sfałszowany webhook pustym kluczem i zostać przyjęty jako pochodzący od GoCardless.
Rekomendacja
Zaktualizuj Business::GoCardless do wersji 1.01 lub nowszej i upewnij się, że sekret webhooka jest zawsze ustawiony i niepusty.
Inne podatności w Business::GoCardless
Zobacz wszystkie- CVE-2026-119038Niskie ryzyko· EPSS 6%
Business::GoCardless w wersjach przed 1.01 dla Perla kończy przepływy przekierowania bez sprawdzania tokenu sesji, pozwalając na utworzenie płatności wobec mandatu innego klienta przy użyciu ujawnionego identyfikatora przepływu. confirm_resource nie pobiera tokenu sesji od wywołującego i zawsze akceptuje przepływ, a od wersji 1.00 przepływ z mandatem jest zwracany jako potwierdzony bez ponownego kończenia.
- CVE-2026-119036Niskie ryzyko· EPSS 7%
Business::GoCardless w wersjach przed 1.01 dla Perla pozwala na wyczerpanie pamięci przez spłaszczanie ładunków starszych webhooków przed sprawdzeniem ich podpisu. Ładunek z kluczem najwyższego poziomu "payload" jest spłaszczany do par klucz-wartość, gdzie długi klucz z długą tablicą kosztuje pamięć proporcjonalną do iloczynu ich długości.
Oryginalny opis (angielski, źródło NVD)
Business::GoCardless versions before 1.01 for Perl accept forged webhooks when a configured webhook secret is undef or empty. signature_valid uses each configured secret as the HMAC key, and nothing rejects undef or an empty string, both of which Digest::SHA treats as an empty key. A secret read from an unset environment variable, or an empty entry in a list of rotated secrets, is used as is. A remote attacker can sign a forged webhook with an empty key and have it accepted as sent by GoCardless.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS