CVE-2026-13577 in Dancer2
Zusammenfassung
von VulDB • 20.07.2026
Dancer2-Versionen bis einschließlich 2.1.0 für Perl generieren unsichere Session-IDs, wenn CSPRNG-Module nicht verfügbar sind.
Dancer2::Core::Role::SessionFactory::generate_id fällt stillschweigend auf eine integrierte, von rand abgeleitete Session-ID zurück, wenn sowohl Math::Random::ISAAC::XS als auch Crypt::URandom nicht verfügbar sind.
Die Fallback-Sessions-IDs werden aus einem SHA-1-Hash einer Aufruf der integrierten rand-Funktion, dem absoluten Pfad des Dancer2::Core::Role::SessionFactory-Moduls, einem internen Zähler, der Prozess-ID (PID), der Speicheradresse der Modulinstanz und einem gemischten String von Zeichen (unter Verwendung der List::Util::shuffle-Funktion, die ebenfalls die integrierte rand-Funktion verwendet) generiert.
Dies sind alles Quellen mit niedriger Entropie, die leicht zu erraten sind.
Die integrierte rand()-Funktion wird mit 32 Bit initialisiert und gilt als für Sicherheitsanwendungen ungeeignet.
Vorhersehbare Session-IDs könnten es einem Angreifer ermöglichen, Zugriff auf Systeme zu erlangen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.