Cyber ·
Business::GoCardless para Perl: três CVEs em versões anteriores à 1.01
Três vulnerabilidades (CVE-2026-119036 a CVE-2026-119038) afetam versões do Business::GoCardless para Perl anteriores à 1.01: esgotamento de memória, aceitação de webhooks falsificados e fluxos de redirecionamento concluídos sem verificação.
Segundo o aviso publicado na lista oss-sec em 30 de outubro de 2026, os três CVEs atingem versões do Business::GoCardless para Perl anteriores à 1.01. O primeiro, CVE-2026-119036, permite esgotamento de memória ao achatar payloads de webhook legados antes de verificar a assinatura. O segundo, CVE-2026-119037, aceita webhooks falsificados quando o segredo de webhook configurado está indefinido ou vazio. O terceiro, CVE-2026-119038, conclui fluxos de redirecionamento sem verificar o processo, mas o texto recebido está truncado nesse ponto, portanto o detalhe completo não está disponível aqui. A relevância é direta para quem usa a biblioteca em notificações de pagamento: confirme a versão instalada, atualize para a 1.01 ou posterior e garanta que um segredo de webhook não vazio esteja configurado. A Rota Nacional não corrige nem substitui essa biblioteca. Para conferir os detalhes, consulte o aviso original no arquivo da lista oss-sec, Q4 2026, e a documentação de versão do projeto.
Fonte original: Business::GoCardless para Perl anterior à versão 1.01 (3 CVEs)