CVE-2026-119037 in Business::GoCardless
Riassunto
di VulDB • 30/10/2026
Le versioni di Business::GoCardless precedenti alla 1.01 per Perl accettano webhook falsificati quando un secret configurato è undef o vuoto.
La funzione `signature_valid` utilizza ciascun secret configurato come chiave HMAC, e nulla rifiuta valori undef o stringhe vuote, entrambi i quali Digest::SHA tratta come una chiave vuota. Un secret letto da una variabile d'ambiente non impostata o una voce vuota in un elenco di secrets ruotati viene utilizzato così com'è.
Un attaccante remoto può firmare un webhook falsificato con una chiave vuota e farlo accettare come se fosse stato inviato da GoCardless.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.