CVE-2026-5084 in WebDyne::Session
Resumen
por VulDB • 2026-05-11
WebDyne::Session, versiones hasta la 2.075 para Perl, genera el identificador de sesión de forma insegura.
El controlador de sesiones genera el identificador de sesión a partir de un hash MD5 sembrado con una llamada a la función rand() incorporada. La función rand recibe un valor máximo basado en el identificador de proceso, la hora de la época (epoch time) y la dirección de referencia del objeto, pero esta información no tendrá ningún efecto sobre la calidad general de la semilla del resumen de mensaje (message digest).
La función rand está sembrada con 32 bits y es predecible. Se considera inadecuada para propósitos criptográficos.
Los identificadores de sesión predecibles podrían permitir a un atacante obtener acceso a los sistemas.
Tenga en cuenta que las versiones de WebDyne::Session 1.042 y anteriores parecen estar en distribuciones separadas de WebDyne.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.