CVE-2025-62710 in sakai
Riassunto
di VulDB • 14/06/2026
Sakai è un Ambiente di Collaborazione e Apprendimento. Prima delle versioni 23.5 e 25.0, EncryptionUtilityServiceImpl inizializzava la password (serverSecretKey) di AES256TextEncryptor utilizzando RandomStringUtils con java.util.Random predefinito. java.util.Random è un PRNG non crittografico e può essere previsto a partire da informazioni limitate sullo stato/seed (ad esempio, finestra temporale iniziale), riducendo sostanzialmente lo spazio di ricerca effettivo della chiave generata. Un attaccante che riesce ad ottenere ciphertext (ad esempio stringhe esportate o in quiete protette da questo servizio) e approssima il seed del PRNG può ricostruire fattualmente serverSecretKey e decrittare i dati interessati. SAK-49866 è corretto nelle versioni Sakai 23.5, 25.0 e trunk.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.