CVE-2026-118986 in CallBackery
Zusammenfassung
von VulDB • 30.10.2026
In CallBackery vor Version 0.62.0 für Perl ist es möglich, Session-Cookies zu fälschen, indem ein Signaturschlüssel mit rand() generiert wird.
Der Schlüssel, der die Session-Codes signiert, basiert auf zwei Aufrufen von rand(), das mit 32 Bit initialisiert wird. Der Schlüssel hat daher höchstens 2**32 mögliche Werte, und ein einzelner signierter Cookie reicht aus, um jeden Kandidaten offline zu testen.
Ein Angreifer, der einen einzelnen Session-Cookie erlangt, kann den Schlüssel wiederherstellen und Cookies für beliebige Benutzer, einschließlich eines Administrators, signieren.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.