CVE-2026-5082 in Amon2::Plugin::Web::CSRFDefender
الملخص
بحسب VulDB • 23/05/2026
تُنتج الإصدارات من 7.00 إلى 7.03 من وحدة Amon2::Plugin::Web::CSRFDefender الخاصة بـ Perl معرّف جلسة غير آمن.
تقوم دالة `generate_session_id` بمحاولة قراءة بايتات من الجهاز `/dev/urandom`، ولكن إذا لم يكن هذا الجهاز متاحاً، فإنها تولد بايتات باستخدام تجزئة SHA-1 مُشغَّلة (seeded) بدالة `rand()` المدمجة، ومعرف العملية (PID)، ووقت الإيبوك عالي الدقة. سيأتي معرف العملية (PID) من مجموعة صغيرة من الأرقام، وقد يمكن تخمين وقت الإيبوك إذا لم يتم تسريبه من رأس HTTP Date. وتُعد دالة `rand` المدمجة غير مناسبة للاستخدامات التشفيرية.
كانت الإصدارات السابقة من 7.00 من Amon2::Plugin::Web::CSRFDefender جزءاً من حزمة Amon2، والتي كانت تعاني من ثغرة معرّفات الجلسات غير الآمنة بسبب CVE-2025-15604.
جدير بالذكر أن المؤلف قد أوقف دعم هذه الوحدة البرمجية (deprecated).
If you want to get best quality of vulnerability data, you may have to visit VulDB.