CVE-2026-26275

Nome do Software Vulnerável e Versões Afetadas httpsig-hyper versões anteriores a 0.0.23

Descrição A biblioteca httpsig-hyper contém um problema no qual a verificação do cabeçalho Digest poderia ser concluída incorretamente devido ao uso incorreto do macro matches! do Rust. A comparação if matches!(digest, expected digest) tratava expected digest como uma associação de padrão em vez de uma comparação de valor, resultando em um falso positivo na verificação do digest. Isso poderia permitir que aplicações deixassem de detectar modificações nos corpos das mensagens ao confiar na verificação do Digest como parte da validação da assinatura da mensagem HTTP. A gravidade deste problema depende de como a biblioteca é integrada e se camadas adicionais de validação de assinatura são aplicadas. A correção substitui o uso incorreto do matches! por uma comparação de valor adequada e introduz uma comparação em tempo constante para a verificação do digest.

Recomendações Atualize para a versão 0.0.23 ou posterior do httpsig-hyper. Se uma atualização imediata não for possível, evite depender exclusivamente da verificação do Digest para a integridade da mensagem e garanta que a validação completa da assinatura da mensagem HTTP seja aplicada na camada de aplicação.