Podatności Business::GoCardless

Business::GoCardless w wersjach przed 1.01 dla Perla kończy przepływy przekierowania bez sprawdzania tokenu sesji, pozwalając na utworzenie płatności wobec mandatu innego klienta przy użyciu ujawnionego identyfikatora przepływu. confirm_resource nie pobiera tokenu sesji od wywołującego i zawsze akceptuje przepływ, a od wersji 1.00 przepływ z mandatem jest zwracany jako potwierdzony bez ponownego kończenia.

Business::GoCardless w wersjach przed 1.01 dla Perla akceptuje sfałszowane webhooki, gdy skonfigurowany sekret webhooka jest undef lub pusty. signature_valid używa każdego sekretu jako klucza HMAC, a Digest::SHA traktuje undef i pusty ciąg jako pusty klucz.

Business::GoCardless w wersjach przed 1.01 dla Perla pozwala na wyczerpanie pamięci przez spłaszczanie ładunków starszych webhooków przed sprawdzeniem ich podpisu. Ładunek z kluczem najwyższego poziomu "payload" jest spłaszczany do par klucz-wartość, gdzie długi klucz z długą tablicą kosztuje pamięć proporcjonalną do iloczynu ich długości.