CVE-2026-113799

Nome do Software Vulnerável e Versões Afetadas Slack Morphism versões 1.0.0 até 2.27.0

Description O Slack Morphism expõe o HMAC (Código de Autenticação de Mensagem baseado em Hash) correto da requisição do Slack quando a verificação da assinatura falha. Para uma requisição inválida, a biblioteca calcula a assinatura correta para o timestamp e o corpo da requisição controlados pelo invasor e a armazena no campo generated hash do objeto SlackEventWrongSignatureError. Esse valor é exposto através das representações Debug e Display do erro e é registrado no nível de erro pelo manipulador de erros padrão do listener Axum.

Um invasor com acesso de rede ao endpoint de callback do Slack da aplicação e acesso de leitura aos logs da aplicação pode usar o verificador como um oráculo HMAC de mensagem escolhida. Ao enviar uma requisição com uma assinatura inválida, o invasor pode recuperar a assinatura correta nos logs e reenviar a mesma requisição dentro da janela de atualização de cinco minutos. Isso permite que a requisição ignore a verificação de assinatura e atinja o callback protegido da aplicação sem que o invasor conheça o segredo de assinatura do Slack.

Recommendations Atualizar para a versão 2.28.0. Rotacionar o segredo de assinatura do Slack se os logs contendo valores de generated hash estiverem acessíveis a partes não confiáveis.