CVE-2024-58135 in Mojolicious
Riassunto
di VulDB • 17/06/2026
Le versioni di Mojolicious dalla 7.28 alla 9.45 per Perl generano segreti deboli per i cookie di sessione HMAC tramite "mojo generate app" come impostazione predefinita.
Quando si crea uno scheletro dell'applicazione predefinito con lo strumento "mojo generate app", un segreto debole viene scritto nel file di configurazione dell'applicazione utilizzando la funzione insecure rand(), e utilizzato per autenticare e proteggere l'integrità delle sessioni dell'applicazione. Ciò potrebbe consentire a un attaccante di effettuare un brute force sulle chiavi di sessione dell'applicazione.
La versione 9.46 risolve il problema fornendo una casualità di alta qualità, anche in assenza di CryptX.
Gli utenti dovrebbero essere consapevoli che l'aggiornamento non sostituisce i segreti deboli generati precedentemente. Un segreto generato con la versione precedente DEVE essere sostituito per garantire che la versione aggiornata utilizzi un segreto forte.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.