PT-2026-133526
CVE-2026-119037
·
Publicado
2026-10-30
·
Atualizado
2026-10-30
Descrição por
Pontuação
N/A
Não disponívelNão há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do Software Vulnerável e Versões Afetadas
Business::GoCardless versões anteriores a 1.01
Descrição
O Business::GoCardless para Perl aceita webhooks forjados quando um segredo de webhook configurado está indefinido ou vazio. A função
signature valid() utiliza cada segredo configurado como a chave HMAC; no entanto, ela não rejeita strings indefinidas ou vazias, que são tratadas como chaves vazias pelo Digest::SHA. Isso ocorre quando um segredo é lido de uma variável de ambiente não definida ou existe como uma entrada vazia em uma lista de segredos rotacionados. Um invasor remoto pode assinar um webhook forjado usando uma chave vazia para que ele seja aceito como uma comunicação legítima do GoCardless.Recomendações
Atualize o Business::GoCardless para a versão 1.01 ou posterior.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾