Beego Vulnerable to Collision Hazards of MD5 in Cache Key Filenames

O framework Beego usa MD5 para gerar nomes de arquivos de cache, algoritmo que é criptograficamente fraco e vulnerável a ataques de colisão. Isso permite que atacantes manipulem dados em cache e potencialmente comprometam o funcionamento da aplicação.

Versões do Beego anteriores a 2.3.4 utilizam MD5 para hash das chaves de cache em nomes de arquivo (CWE-327, CWE-328), permitindo ataques de colisão onde adversários criam entradas que geram hashes MD5 idênticos, potencialmente sobrescrevendo ou envenenando conteúdo em cache. O vetor de ataque requer influência nos dados de entrada do cache; o impacto inclui manipulação de cache e contorno da lógica da aplicação. A versão 2.3.4 mitiga isso substituindo MD5 por SHA256.