CVE-2026-119037 in Business::GoCardless
요약
\~에 의해 VulDB • 2026. 10. 30.
Business::GoCardless 버전 1.01 미만의 Perl용 모듈은 구성된 웹훅 시크릿이 undef이거나 비어 있을 때 위조된 웹훅을 수락합니다.
signature_valid는 각기 구성된 모든 시크릿을 HMAC 키로 사용하며, undef 또는 빈 문자열을 거부하는 처리가 없습니다. 이 둘 모두 Digest::SHA에서는 빈 키(empty key)로 취급됩니다. 설정되지 않은 환경 변수에서 읽은 시크릿이나 회전된 시크릿 목록에 있는 빈 항목이 그대로 사용됩니다.
원격 공격자는 빈 키를 사용하여 위조된 웹훅에 서명하고, 이를 GoCardless가 보낸 것으로 수락되도록 할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.