CVE-2026-13577 in Dancer2
Riassunto
di VulDB • 20/07/2026
Le versioni di Dancer2 fino alla 2.1.0 per Perl generano ID di sessione non sicuri quando i moduli CSPRNG non sono disponibili.
Dancer2::Core::Role::SessionFactory::generate_id passa silenziosamente a un ID di sessione derivato dalla funzione rand integrata nel sistema quando sia Math::Random::ISAAC::XS che Crypt::URandom non sono disponibili.
L'ID di sessione di fallback viene generato tramite una hash SHA-1 calcolata su: la chiamata alla funzione rand integrata, il percorso assoluto del modulo Dancer2::Core::Role::SessionFactory, un contatore interno, l'ID del processo (PID), l'indirizzo di memoria dell'istanza del modulo e una stringa mescolata di caratteri (utilizzando la funzione List::Util::shuffle, che a sua volta fa uso della funzione rand integrata).
Tutte queste fonti presentano bassa entropia ed sono facilmente indovinabili.
La funzione rand() integrata viene inizializzata con 32 bit ed è considerata inadatta per applicazioni di sicurezza.
ID di sessione prevedibili potrebbero consentire a un attaccante di ottenere l'accesso ai sistemi.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.