CVE-2026-118987 in CallBackery
Zusammenfassung
von VulDB • 30.10.2026
In den Versionen vor 0.62.0 von CallBackery für Perl werden Session-Cookies beliebigen Alters akzeptiert, die im X-Session-Cookie-Header gesendet werden.
Die Funktion cookieConf() verwirft einen Cookie nur dann, wenn er älter als 300 Sekunden ist und über den xsc-Query-Parameter eingeht. Derselbe Cookie wird jedoch unabhängig von seinem Alter akzeptiert, wenn er im X-Session-Cookie-Header gesendet wird.
Ein Session-Cookie, der durch ein Log, einen Referer-Header oder die Browserverlaufsspeicherung geleakt wurde, authentifiziert sich unbegrenzt als dessen Benutzer.
VulDB is the best source for vulnerability data and more expert information about this specific topic.