‹ Volver al listado

CVE-2026-113799

Estado: AplazadaMedia (5.3)—
Gravedad5.3Media · CVSS 3.1
Probabilidad de explotación0.38 %mayor que el 31 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

Slack Morphism es una biblioteca cliente para la API Web de Slack, la API de eventos, Socket Mode y Block Kit. Las versiones desde la 1.0.0 hasta la 2.27.0 exponen la HMAC de solicitud de Slack correcta cuando falla la verificación de la firma. Para una solicitud no válida, `slack-morphism` calcula la firma correcta para la marca de tiempo y el cuerpo de la solicitud controlados por el atacante, y la almacena en `SlackEventWrongSignatureError.generated_hash`.

Leer descripción completaMostrar menos

Las representaciones `Debug` y `Display` del error exponen ese valor, y el manejador de errores por defecto del listener de Axum lo registra en el nivel de error. Un atacante que pueda tanto acceder al endpoint de callback de Slack de la aplicación como leer sus registros de aplicación o de servicio puede, por tanto, usar el verificador como un oráculo de HMAC de mensaje elegido. El atacante puede enviar una solicitud arbitraria con una firma no válida, recuperar la firma correcta a partir de la entrada de registro resultante y reenviar la misma solicitud dentro de la ventana de frescura de cinco minutos. La segunda solicitud supera la verificación de firma de Slack Morphism y llega al callback protegido de la aplicación sin que el atacante conozca el secreto de firma de Slack. La versión 2.28.0 corrige el problema.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
5.3
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.38 %
Percentil entre todas las CVEs puntuadas
31
Fecha de la puntuación
24/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

El vector CVSS indica PR:L (red con privilegios), y el texto dice que la firma HMAC correcta se registra en logs a nivel error, lo que permite recuperarla y reenviar la petición.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningUser TrainingThreat Intelligence ProgramRestrict File and Directory PermissionsPrivileged Account ManagementPassword Policies

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Slack-morphism — Slack-morphismAI

CWE

Referencias

Mostrar las 4 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-113799",
  "cveTags": [],
  "metrics": {
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 5.3,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 1.6
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "abdolence",
          "product": "slack-morphism-rust",
          "versions": [
            {
              "status": "affected",
              "version": ">= 1.0.0, < 2.28.0"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-21T17:18:25.123",
  "references": [
    {
      "url": "https://github.com/abdolence/slack-morphism-rust/commit/ac95d0d4539d0eac548a8db99c51c0c1ae832756",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/abdolence/slack-morphism-rust/pull/387",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/abdolence/slack-morphism-rust/releases/tag/v2.28.0",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/abdolence/slack-morphism-rust/security/advisories/GHSA-26w4-8w32-4x3v",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-532"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Slack Morphism is a client library for Slack Web/Events API/Socket Mode and Block Kit. Versions 1.0.0 through 2.27.0 expose the correct Slack request HMAC when signature verification fails. For an invalid request, `slack-morphism` computes the correct signature for the attacker-controlled timestamp and request body and stores it in `SlackEventWrongSignatureError.generated_hash`. The error's `Debug` and `Display` representations expose that value, and the default Axum listener error handler logs it at error level. An attacker who can both reach the application's Slack callback endpoint and read its application/service logs can therefore use the verifier as a chosen-message HMAC oracle. The attacker can send an arbitrary request with an invalid signature, recover the correct signature from the resulting log entry, and resend the same request within the five-minute freshness window. The second request passes Slack Morphism's signature verification and reaches the protected application callback without the attacker knowing the Slack signing secret. Version 2.28.0 patches the issue."
    }
  ],
  "lastModified": "2026-10-22T17:40:46.877",
  "sourceIdentifier": "security-advisories@github.com"
}