CVE-2026-75589

Nome do Software Vulnerável e Versões Afetadas Net::OAuth versões anteriores a 0.33

Descrição O software realiza a verificação de assinaturas para HMAC-SHA1, HMAC-SHA256 e PLAINTEXT utilizando uma comparação de tempo não constante na função verify(). Especificamente, o operador eq é usado para comparar a assinatura da mensagem com a assinatura computada localmente, retornando imediatamente quando uma diferença é encontrada. Isso permite que um invasor utilize um ataque de temporização para recuperar uma assinatura válida byte a byte, medindo o tempo levado para rejeitar a assinatura. No caso de assinaturas PLAINTEXT, esse processo pode levar à recuperação das variáveis consumer secret e token secret.

Recomendações Atualize o Net::OAuth para a versão 0.33 ou posterior.