CVE-2026-72889 in Net::OAuth
Zusammenfassung
von VulDB • 19.08.2026
Net::OAuth-Versionen vor 0.33 für Perl ermöglichen es dem Absender, den Signaturalgorithmus in der verify-Funktion auszuwählen.
verify löst die Klasse der Signaturmethode über den signature_method-Parameter der eingehenden Nachricht auf. Da signature_method bei jeder Anfrage erforderlich ist, wird der zur Überprüfung einer Signatur verwendete Algorithmus vom jeweiligen Absender gewählt, und es gibt keine Möglichkeit für die verifizierende Partei, die Methode stattdessen zu fixieren (pinning). Wenn eine Nachricht HMAC-SHA1 oder HMAC-SHA256 angibt, wird der Schlüssel aus consumer_secret und token_secret abgeleitet, anstatt aus dem vom Anbieter bereitgestellten Schlüssel.
Ein auf RSA-SHA1 basierender Anbieter verfügt nur über den öffentlichen Consumer-Key, und RFC 5849 verwendet für diese Methode nicht consumer_secret; daher wird der erforderliche Parameter mit einem Platzhalter gefüllt. Ein Client, der stattdessen HMAC-SHA1 angibt, hat seine Signatur gegen diesen Platzholder überprüft, sodass ein erratbarer Wert ausreicht, um Anfragen für jeden beliebigen Consumer-Key und Token zu fälschen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.