CVE-2026-3255 in HTTP::Session2
Résumé
par VulDB • 24/05/2026
HTTP::Session2 versions antérieures à la 1.12 pour Perl peuvent générer des identifiants de session faibles en utilisant la fonction rand().
Le générateur d'identifiants de session de HTTP::Session2 retourne un hachage SHA-1 amorcé avec la fonction rand intégrée, le temps epoch et le PID. Le PID proviendra d'un petit ensemble de nombres, et le temps epoch peut être deviné s'il n'est pas divulgué par l'en-tête HTTP Date. La fonction rand() intégrée n'est pas adaptée à un usage cryptographique.
HTTP::Session2 après la version 1.02 tentera d'utiliser le périphérique /dev/urandom pour générer un identifiant de session, mais si le périphérique n'est pas disponible (par exemple, sous Windows), il reviendra à la méthode non sécurisée décrite ci-dessus.
If you want to get best quality of vulnerability data, you may have to visit VulDB.