CVE-2026-113799
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Slack Morphism to biblioteka kliencka dla Slack Web/Events API/Socket Mode i Block Kit. Wersje od 1.0.0 do 2.27.0 udostępniają prawidłowe żądanie Slack HMAC, gdy weryfikacja podpisu nie powiedzie się. W przypadku nieprawidłowego żądania `slack-morphism` oblicza poprawny podpis dla kontrolowanego przez atakującego znacznika czasu i treści żądania i zapisuje je w `SlackEventWrongSignatureError.generated_hash`. Reprezentacje błędu „Debug” i „Display” ujawniają tę wartość, a domyślna procedura obsługi błędów odbiornika Axum rejestruje ją na poziomie błędu. Osoba atakująca, która może zarówno dotrzeć do punktu końcowego wywołania zwrotnego aplikacji Slack, jak i odczytać dzienniki aplikacji/usług, może zatem użyć weryfikatora jako wyroczni HMAC z wybraną wiadomością. Osoba atakująca może wysłać dowolne żądanie z nieprawidłowym podpisem, odzyskać prawidłowy podpis z wynikowego wpisu dziennika i ponownie wysłać to samo żądanie w ciągu pięciominutowego okna świeżości. Drugie żądanie przechodzi weryfikację podpisu Slack Morphism i dociera do wywołania zwrotnego chronionej aplikacji bez wiedzy osoby atakującej o tajnym podpisie Slack. Wersja 2.28.0 łata ten problem.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/abdolence/slack-morphism-rust/commit/ac95d0d4539d0eac548a8db99c51c0c1ae832756
- https://github.com/abdolence/slack-morphism-rust/pull/387
- https://github.com/abdolence/slack-morphism-rust/releases/tag/v2.28.0
- https://github.com/abdolence/slack-morphism-rust/security/advisories/GHSA-26w4-8w32-4x3v
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org