VDB-348885 · CVE-2025-40926 · GCVE-0-2025-40926

KAZEBURO Plack::Middleware::Session::Simple hasta 0.04 en Perl Default Session ID Generator rand divulgación de información

CVSS Puntuación meta temporal	Precio actual del exploit (≈)	Puntuación de interés CTI
6.7	$0-$5k	0.00

Resumeninformación

Se ha identificado una vulnerabilidad clasificada como problemática en KAZEBURO Plack::Middleware::Session::Simple hasta 0.04 en Perl. Está afectada una función desconocida en el componente Default Session ID Generator. El manejo da lugar a divulgación de información. Esta vulnerabilidad se conoce como CVE-2025-40926. Se puede ejecutar el ataque remotamente. No se encuentra disponible ningún exploit. Se recomienda aplicar un parche para solucionar este problema.

Detallesinformación

Una vulnerabilidad clasificada como problemática fue encontrada en KAZEBURO Plack::Middleware::Session::Simple hasta 0.04 en Perl. La función rand del componente Default Session ID Generator es afectada por esta vulnerabilidad. A través de la manipulación de un input desconocido se causa una vulnerabilidad de clase divulgación de información. Esto tiene repercusión sobre la la confidencialidad. El resumen de CVE es:

Las versiones de Plack::Middleware::Session::Simple hasta la 0.04 para Perl generan identificadores de sesión de forma insegura. El generador predeterminado de identificadores de sesión devuelve un hash SHA-1 inicializado con la función rand incorporada, el tiempo epoch y el PID. El PID provendrá de un pequeño conjunto de números, y el tiempo epoch puede ser adivinado, si no se filtra del encabezado HTTP Date. La función rand incorporada no es adecuada para uso criptográfico. Los identificadores de sesión predecibles podrían permitir a un atacante obtener acceso a los sistemas. Plack::Middleware::Session::Simple está diseñado para ser compatible con Plack::Middleware::Session, que tuvo un problema de seguridad similar CVE-2025-40923.

El advisory puede ser descargado de metacpan.org. La vulnerabilidad es identificada como CVE-2025-40926. Se considera difícil de explotar. El ataque se puede hacer desde la red. La explotación no necesita ninguna autentificación específica. Detalles técnicos son conocidos, pero no hay ningún exploit público disponible.

Aplicando el parche 760bb358b8f53e52cf415888a4ac858fd99bb24e es posible eliminar el problema. El parche puede ser descargado de github.com.

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Productoinformación

Escribe

Middleware

Proveedor

KAZEBURO

Nombre

Plack::Middleware::Session::Simple

Versión

0.04

Licencia

Código abierto

CPE 2.3información

🔒

CPE 2.2información

🔒

CVSSv4información

VulDB Vector: 🔒
VulDB Confiabilidad: 🔍

CVSSv3información

VulDB Puntuación meta base: 6.7
VulDB Puntuación meta temporal: 6.7

VulDB Puntuación base: 3.7
VulDB Puntuación temporal: 3.6
VulDB Vector: 🔒
VulDB Confiabilidad: 🔍

ADP CISA Puntuación base: 9.8
ADP CISA Vector: 🔒

CVSSv2información

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vector	Complejidad	Autenticación	Confidencialidad	Integridad	Disponibilidad
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear	Desbloquear

VulDB Puntuación base: 🔒
VulDB Puntuación temporal: 🔒
VulDB Confiabilidad: 🔍

Explotacióninformación

Clase: Divulgación de información
CWE: CWE-340 / CWE-331 / CWE-330
CAPEC: 🔒
ATT&CK: 🔒

Físico: No
Local: No
Remoto: Sí

Disponibilidad: 🔒
Estado: No está definido

EPSS Score: 🔒
EPSS Percentile: 🔒

Predicción de precios: 🔍
Estimación del precio actual: 🔒

0-Day	Desbloquear	Desbloquear	Desbloquear	Desbloquear
Hoy	Desbloquear	Desbloquear	Desbloquear	Desbloquear

Inteligencia de amenazasinformación

Interés: 🔍
Actores activos: 🔍
Grupos APT activos: 🔍

Contramedidasinformación

Recomendación: Parche
Estado: 🔍

Hora de 0 días: 🔒

Parche: 760bb358b8f53e52cf415888a4ac858fd99bb24e

Línea de tiempoinformación

2025-04-16 CVE asignado
2026-03-05 +323 días Aviso publicado
2026-03-05 +0 días Entrada de VulDB creada
2026-03-12 +7 días Última actualización de VulDB