GHSA-f3q4-ggfp-jv34
GHSA-f3q4-ggfp-jv34 · Adyen APIs Library for Python timing attack vulnerability
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Adyen has utility methods for validating notification HMAC signatures. The `is_valid_hmac` and `is_valid_hmac_notification` methods are vulnerable to a timing attack, you should compare the hash of the HMACs instead.
CVSS 6.9 · Mittel · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: python
Betroffene Produkte und Versionen
adyen PyPI
- Softwareversionen
- 2.2.0
- 2.3.0
- 3.0.0
- 3.1.0
- 4.0.0
- 5.0.0
- 5.1.0
- 6.0.0
- 7.0.0
- Betroffene Versionsbereiche
- ECOSYSTEM: ≥ 2.2.0, < 7.1.0
Auf 7.1.0 aktualisieren
Originalquellen
- https://github.com/Adyen/adyen-python-api-library/issues/168
- https://github.com/Adyen/adyen-python-api-library/pull/170
- https://github.com/Adyen/adyen-python-api-library/commit/3292133dbc00ffc4cccfb92de672a76eaa587ca5
- https://github.com/Adyen/adyen-python-api-library
- https://github.com/pypa/advisory-database/tree/main/vulns/adyen/PYSEC-2023-1.yaml
- https://osv.dev/vulnerability/GHSA-f3q4-ggfp-jv34