CVE-2026-119037

Mở trang đầy đủ

CVSS — Truy cập trái phép

Business::GoCardless versions before 1.01 for Perl accept forged webhooks when a configured webhook secret is undef or empty

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

Business::GoCardless versions before 1.01 for Perl accept forged webhooks when a configured webhook secret is undef or empty.

signature_valid uses each configured secret as the HMAC key, and nothing rejects undef or an empty string, both of which Digest::SHA treats as an empty key. A secret read from an unset environment variable, or an empty entry in a list of rotated secrets, is used as is.

A remote attacker can sign a forged webhook with an empty key and have it accepted as sent by GoCardless.

Điểm và phân loại

CVSS
Chưa có điểm CVSS
EPSS
—
CWE
CWE-347

Ảnh hưởng

Nguồn chưa ghi sản phẩm hay package nào.

Vì sao bị lọc

  • CVSS chưa có điểm < 8.0 và không thuộc CISA KEV

Loại tác động

Truy cập trái phép
CWE-347

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
CPANSec

Tham khảo