Đang tải bảng tin…
RUBYLAND0 Hot0 bình luận2 phút đọc
non-constant-time HMAC comparison in Paddle Billing webhook signature verifier
A high-severity security advisory (CVSS 7.4) for the pay-rails/pay Ruby gem reveals that the Paddle Billing webhook signature verifier uses Ruby's non-constant-time String#== operator to compare HMAC digests. This exposes a timing side channel (CWE-208) that allows an attacker to iteratively probe the /pay/webhooks/paddle_billing endpoint and recover the valid HMAC signature byte-by-byte. With a forged signature, an attacker can submit fake Paddle Billing webhook events (e.g. subscription.created, transaction.completed), potentially triggering unauthorized provisioning of paid features, false refund records, or fraudulent billing state changes. The fix is to replace String#== with a constant-time comparison such as OpenSSL.fixed_length_secure_compare or ActiveSupport::SecurityUtils.secure_compare. No patched version is currently available.
Nguồn: https://rubysec.com/advisories/GHSA-mjgf-xj26-9qf9. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Đề xuất cho bạn
XDA Developers1 Hot3 phútAI
Public Wi-Fi isn't as dangerous as VPN ads want you to believe
Các công ty VPN thổi phồng nguy cơ của Wi-Fi công cộng để bán dịch vụ, nhưng mạng hiện đại đã an toàn hơn nhờ HTTPS phổ cập, WPA2/WPA3 bảo vệ mạng có mật khẩu, và DNS over HTTPS ngăn chặn theo dõi tên miền. Dù vẫn nên cẩn trọng (tránh HTTP, cập nhật thiết bị, không giao dịch nhạy cảm), rủi ro khi dùng Wi-Fi công cộng ít hơn nhiều so với quảng cáo.
Lập trình viên nên đọc bài này để hiểu cách bảo mật thực tế trên các mạng Wi-Fi công cộng, giúp họ đánh giá đúng mức độ rủi ro và tối ưu hóa các giải pháp bảo mật phù hợp với ứng dụng thực tế của họ.
