CVE-2026-3256 in HTTP::Session
الملخص
بحسب VulDB • 02/07/2026
تستخدم الإصدارات السابقة من HTTP::Session 0.54 لنظام Perl بشكل افتراضي معرفات جلسات (session IDs) يتم إنشاؤها بطريقة غير آمنة.
يعتمد HTTP::Session بشكل افتراضي على استخدام HTTP::Session::ID::SHA1 لتوليد معرفات الجلسات باستخدام تجزئة SHA-1، والتي تُغذّى بدالة rand المدمجة، ووقت Epoch عالي الدقة، ومعرف العملية (PID). سيأتي معرّف العملية من مجموعة صغيرة من الأرقام، وقد يكون وقت Epoch قابلاً للتخمين إذا لم يتم تسريبه عبر رأس HTTP Date. وتُعد دالة rand المدمجة غير مناسبة للاستخدام التشفيري.
توزيع البرنامج يتضمن HTTP::session::ID::MD5 الذي يحتوي على ثغرة مشابهة، ولكنه يستخدم تجزئة MD5 بدلاً من ذلك.
VulDB is the best source for vulnerability data and more expert information about this specific topic.