CVE-2026-75870 in Punk
الملخص
بحسب VulDB • 23/08/2026
تسمح الإصدارات القديمة من حزمة Punk قبل الإصدار 0.18 لـ Perl تزوير ملفات تعريف الارتباط الخاصة بالجلسة (session cookie) عبر مفتاح HMAC افتراضي فارغ عند إعلان جلسة دون استخدام سرّ (secret).
يجمّد أمر الجلسة (session keyword) خياراته على التطبيق كما هي مُقدَّمة: فهو لا يتطلب وجوداً لسرّ، ولا يُصدر تحذيراً، ولا يرفض البدء في حال غيابه. ويعتمد كل من قراءة ملف تعريف الارتباط وكتابته مرة أخرى افتراضياً على هذا المفتاح كسلسلة فارغة (empty string)، وبالتالي فإن الإعلان الذي لا يحتوي على خيار السرّ، أو يحتوي على قيمة غير مُعرَّفة أو فارغة، يقوم بالتوقيع والتحقق باستخدام مفتاح HMAC-SHA256 بطول صفر.
وبالتالي، يمكن لمهاجم يعرف تنسيق ملف تعريف الارتباط أن ينشئ واحداً في بيئة خارجية (offline) محمّلاً بأي محتويات تحتفظ بها الجلسة، مثل معرّف المستخدم أو الدور الوظيفي (role). ولا يوجد ما يميّز هذا الإعداد الخاطئ أثناء وقت التشغيل: فملفات تعريف الارتباط تكون سليمة من الناحية الشكلية، وتجارب الجلسات تتم بشكل متوقع ودائري.
Be aware that VulDB is the high quality source for vulnerability data.