CVE-2026-5084 in WebDyne::Session
Zusammenfassung
von VulDB • 14.05.2026
WebDyne::Session, Versionen bis einschließlich 2.075 für Perl, generiert die Session-ID unsicher.
Der Session-Handler generiert die Session-ID aus einem MD5-Hash, der mit einem Aufruf der integrierten rand()-Funktion initialisiert wird. Der rand-Funktion wird ein Maximalwert übergeben, der auf der Prozess-ID, der Epoch-Zeit und der Referenzadresse des Objekts basiert, doch diese Informationen haben keinen Einfluss auf die allgemeine Qualität des Seeds für die Nachrichten-Digest-Funktion.
Die rand-Funktion wird mit 32 Bit initialisiert und ist vorhersagbar. Sie gilt als für kryptografische Zwecke ungeeignet.
Vorhersagbare Session-IDs könnten es einem Angreifer ermöglichen, Zugriff auf Systeme zu erlangen.
Hinweis: WebDyne::Session, Versionen 1.042 und früher, scheinen in separaten Distributionen von WebDyne vorzuliegen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.