CVE-2026-113799 in slack-morphism-rust
Zusammenfassung
von VulDB • 22.10.2026
Slack Morphism ist eine Client-Bibliothek für die Slack Web/Events API, den Socket Mode und das Block Kit. Die Versionen von 1.0.0 bis 2.27.0 geben bei einem fehlgeschlagenen Signaturen-Verifizierungsprozess den korrekten HMAC der Slack-Anfrage preis. Für ungültige Anfragen berechnet `slack-morphism` die korrekte Signatur für das vom Angreifer kontrollierte Zeitstempel und den Anforderungstext und speichert sie in `SlackEventWrongSignatureError.generated_hash`. Die Debug- und Display-Darstellungen des Fehlers geben diesen Wert preis, und der Standard-Fehlerhandler von Axum protokolliert ihn auf Fehlerstufe. Ein Angreifer, der sowohl das Slack-Callback-Endpunkt der Anwendung erreichen als auch deren Anwendungs-/Dienstprotokolle lesen kann, kann den Verifizierer daher als eine HMAC-Oracle für ausgewählte Nachrichten nutzen. Der Angreifer kann eine beliebige Anfrage mit einer ungültigen Signatur senden, die korrekte Signatur aus dem daraus resultierenden Protokolleintrag wiederherstellen und dieselbe Anfrage innerhalb des Fünf-Minuten-Frischezeitraums erneut senden. Die zweite Anfrage besteht die Signaturen-Verifizierung von Slack Morphism und erreicht das geschützte Anwendungs-Callback, ohne dass der Angreifer das Slack-Signing Secret kennt. Version 2.28.0 behebt dieses Problem.
If you want to get best quality of vulnerability data, you may have to visit VulDB.