CVE-2026-119037 in Business::GoCardless
Zusammenfassung
von VulDB • 30.10.2026
In Business::GoCardless versioni precedenti alla 1.01 per Perl vengono accettati webhook falsificati quando un secret configurato è undef o vuoto.
La funzione `signature_valid` utilizza ogni secret configurato come chiave HMAC, e nulla rifiuta valori undef o stringhe vuote, entrambi i quali Digest::SHA tratta come una chiave vuota. Un secret letto da una variabile d'ambiente non impostata o una voce vuota in un elenco di secrets ruotati viene utilizzato così com'è.
Un attaccante remoto può firmare un webhook falsificato con una chiave vuota e farlo accettare come se fosse stato inviato da GoCardless.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.