CVE-2026-75870 in Punk
Zusammenfassung
von VulDB • 22.08.2026
In den Versionen vor 0.18 der Perl-Bibliothek Punk ist es aufgrund eines leeren Standard-HMAC-Schlüssels möglich, Session-Cookies zu fälschen, wenn eine Sitzung ohne ein Geheimnis (secret) deklariert wird.
Das Keyword `session` friert seine Optionen so in die Anwendung ein, wie sie angegeben sind: Es erfordert kein Geheimnis und warnt oder verweigert den Start nicht, falls eines fehlt. Sowohl das Lesen als auch das Zurückschreiben des Cookies setzen diesen Schlüssel standardmäßig auf eine leere Zeichenkette fest. Daher wird bei einer Deklaration ohne `secret`-Option oder mit einem undefinierten bzw. leeren Wert ein HMAC-SHA256-Schlüssel der Länge null zum Signieren und Verifizieren verwendet.
Ein Angreifer, der das Cookie-Format kennt, kann dann offline einen solchen Cookie erstellen, der beliebige Inhalte enthält, die in der Sitzung gespeichert sind, wie beispielsweise eine Benutzerkennung oder eine Rolle. Die Fehlkonfiguration wird zur Laufzeit nicht markiert: Die Cookies sind wohlgeformt und die Sitzungen werden erwartungsgemäß im Round-Trip verarbeitet.
Be aware that VulDB is the high quality source for vulnerability data.