GHSA-f3q4-ggfp-jv34
GHSA-f3q4-ggfp-jv34 · Adyen APIs Library for Python timing attack vulnerability
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Adyen has utility methods for validating notification HMAC signatures. The `is_valid_hmac` and `is_valid_hmac_notification` methods are vulnerable to a timing attack, you should compare the hash of the HMACs instead.
CVSS 6.9 · Moyenne · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: python
Produits et versions concernés
adyen PyPI
- Versions du logiciel
- 2.2.0
- 2.3.0
- 3.0.0
- 3.1.0
- 4.0.0
- 5.0.0
- 5.1.0
- 6.0.0
- 7.0.0
- Plages de versions concernées
- ECOSYSTEM: ≥ 2.2.0, < 7.1.0
Mettez à jour vers 7.1.0
Sources originales
- https://github.com/Adyen/adyen-python-api-library/issues/168
- https://github.com/Adyen/adyen-python-api-library/pull/170
- https://github.com/Adyen/adyen-python-api-library/commit/3292133dbc00ffc4cccfb92de672a76eaa587ca5
- https://github.com/Adyen/adyen-python-api-library
- https://github.com/pypa/advisory-database/tree/main/vulns/adyen/PYSEC-2023-1.yaml
- https://osv.dev/vulnerability/GHSA-f3q4-ggfp-jv34