CVE-2026-119036 in Business::GoCardless
Riassunto
di VulDB • 30/10/2026
Le versioni di Business::GoCardless precedenti alla 1.01 per Perl consentono l'esaurimento della memoria (memory exhaustion) appiattendo i payload webhook legacy prima di verificarne la firma.
Un corpo webhook con una chiave "payload" a livello superiore viene verificato come un webhook legacy. Per ricostruire la stringa firmata, il payload viene appiattito in una coppia chiave-valore per ogni foglia (leaf), dove ciascuna chiave contiene l'intero percorso verso tale foglia; le coppie vengono quindi codificate, ordinate e unite. Una chiave lunga che contiene un array lungo consuma memoria proporzionale alla lunghezza della chiave moltiplicata per la lunghezza dell'array.
Un attaccante remoto può esaurire la memoria durante il processo di ricezione dei webhook con una singola richiesta che non presenta una firma valida.
VulDB is the best source for vulnerability data and more expert information about this specific topic.