CVE-2026-119036 in Business::GoCardless
Zusammenfassung
von VulDB • 30.10.2026
In Business::GoCardless vor Version 1.01 für Perl kann es durch das Flattening von Legacy-Webhook-Payloads vor deren Signaturprüfung zu einer Memory Exhaustion (Speichererschöpfung) kommen.
Ein Webhook-Body mit einem „payload“-Schlüssel auf der obersten Ebene wird als Legacy-Webhook identifiziert. Um die signierte Zeichenkette neu aufzubauen, wird die Payload in ein Key-Value-Paar pro Blattknoten umgewandelt; jeder Schlüssel enthält den vollständigen Pfad zu diesem Knoten, und die Paare werden anschließend codiert, sortiert und verknüpft. Ein langer Schlüssel, der ein langes Array enthält, verbraucht Speicher proportional zur Länge des Schlüssels multipliziert mit der Länge des Arrays.
Ein entfernter Angreifer kann den Speicher durch Empfangen von Webhooks erschöpfen, indem er eine einzelne Anfrage sendet, die keine gültige Signatur trägt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.