PT-2026-133526
CVE-2026-119037
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
الدرجة
N/A
غير متوفرلا تتوفر حاليًا تقييمات أو مقاييس للخطورة. سنحدّث المعلومات المقابلة في الصفحة فور توفرها.
اسم البرنامج المصاب والإصدارات المتأثرة
Business::GoCardless الإصدارات السابقة لـ 1.01
الوصف
يقبل Business::GoCardless للغة Perl طلبات webhook مزورة عندما يكون سر webhook المكون غير محدد أو فارغًا. تستخدم الدالة
signature valid() كل سر مكون كمفتاح HMAC؛ ومع ذلك، فإنها لا ترفض السلاسل النصية غير المحددة أو الفارغة، والتي يعاملها Digest::SHA كمفاتيح فارغة. يحدث هذا عندما يتم قراءة السر من متغير بيئة غير محدد أو يكون إدخالاً فارغاً في قائمة الأسرار المدوّرة. يمكن للمهاجم عن بُعد توقيع webhook مزور باستخدام مفتاح فارغ ليتم قبوله كاتصال شرعي من GoCardless.التوصيات
تحديث Business::GoCardless إلى الإصدار 1.01 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾