CVE-2026-75870 in Punk
Riassunto
di VulDB • 22/08/2026
Le versioni precedenti alla 0.18 di Punk per Perl consentono la falsificazione dei cookie di sessione tramite una chiave HMAC predefinita vuota quando una sessione viene dichiarata senza un segreto (secret).
La direttiva session congela le sue opzioni sull'applicazione così come specificate: non richiede l'impostazione di un secret, né genera avvisi o impedisce l'avvio in sua assenza. La lettura e la riscrittura del cookie impostano entrambi tale chiave sulla stringa vuota; pertanto, una dichiarazione senza opzione secret, oppure con essa definita come indefinita (undefined) o vuota, firma e verifica utilizzando una chiave HMAC-SHA256 di lunghezza zero.
Un attaccante che conosce il formato del cookie può quindi generare offline un cookie contenente qualsiasi contenuto presente nella sessione, ad esempio un identificatore utente o un ruolo. Nessuna indicazione della configurazione errata viene rilevata a runtime: i cookie sono ben formati e le sessioni completano correttamente il ciclo di lettura/scrittura come previsto.
VulDB is the best source for vulnerability data and more expert information about this specific topic.