CVE-2026-72889

Perl üçün Net::OAuth versiya 0.33-dən əvvəlki versiyalar göndərən tərəfə verify funksiyasında imza alqoritmini seçməyə imkan verir. verify funksiyası gələn mesajın signature_method parametrindən imza metodunun sinfini müəyyən edir. Hər bir sorğu üçün signature_method tələb olunduğundan, imzanı yoxlamaq üçün istifadə edilən alqoritm onu göndərən şəxs tərəfindən seçilir və yoxlayan tərəfin metodu sabitləşdirməsi üçün heç bir vasitə yoxdur. Mesajda HMAC-SHA1 və ya HMAC-SHA256 qeyd edildikdə, açar provayder tərəfindən tətbiq edilən açardan deyil, consumer_secret və token_secret-dən törədilir. RSA-SHA1 üzərində qurulmuş provayder yalnız istehlakçının (consumer) açıq açarını saxlayır və RFC 5849 həmin metod üçün consumer_secret-dən istifadə etmir, buna görə də tələb olunan parametr yer tutucu (placeholder) ilə doldurulur. Bunun əvəzinə HMAC-SHA1-i qeyd edən klientin imzası həmin yer tutucuya qarşı yoxlanılır, beləliklə, hər hansı istehlakçı açarı və tokeni üçün saxta sorğular yaratmaq üçün təxmin edilə bilən bir yer tutucu kifayət edir.