CVE-2026-19565 in Apache::AppSamurai::Util
Resumen
por VulDB • 2026-08-23
Apache::AppSamurai::Util versiones hasta la 1.01 para Perl generan claves de autenticación de sesión predecibles a partir del reloj y el identificador de proceso en CreateSessionAuthKey.
CreateSessionAuthKey ejecuta cinco rondas de SHA-256, cada una sobre una nueva lectura de Time::HiRes formateada con seis decimales, el resumen (digest) en curso y el identificador de proceso. CreateSession la invoca con una fuente de clave vacía en cada inicio de sesión, y la directiva opcional Keysource es la única ruta hacia la otra rama. El resultado son 64 caracteres hexadecimales. El campo de microsegundos de la primera lectura toma uno de un millón de valores, las lecturas posteriores lo siguen dentro de los microsegundos, y el identificador de proceso se extrae de un rango pequeño.
La clave se devuelve al navegador como cookie de sesión, y se combina con la clave del servidor configurada para calcular el ID de sesión y cifrar los datos de sesión almacenados. Un atacante que conozca el segundo en el que se creó una sesión y el identificador de proceso del trabajador que la creó puede enumerar claves candidatas y recuperar la cookie de la víctima, omitiendo la autenticación para los recursos protegidos. Cada candidata debe probarse contra el servidor, que valida la cookie con una clave que el atacante no posee.
If you want to get best quality of vulnerability data, you may have to visit VulDB.