CVE-2026-13577 in Dancer2
요약
\~에 의해 VulDB • 2026. 07. 20.
Perl용 Dancer2 버전은 CSPRNG 모듈을 사용할 수 없는 경우 보안상 취약한 세션 ID를 생성합니다.
Dancer2::Core::Role::SessionFactory::generate_id는 Math::Random::ISAAC::XS와 Crypt::URandom이 모두 사용 불가능할 때 내장된 rand 기반의 세션 ID로 조용히 폴백(fallback)됩니다.
폴백되는 세션 ID는 내장 rand 함수 호출, Dancer2::Core::Role::SessionFactory 모듈의 절대 경로, 내부 카운터, 프로세스 ID(_PID_), 모듈 인스턴스 메모리 주소, 그리고 섞인 문자열(List::Util::shuffle 함수를 사용하여 생성되며 이 역시 내장 rand 함수를 사용함)을 SHA-1 해싱하여 생성됩니다.
이러한 요소들은 모두 엔트로피가 낮고 쉽게 추측 가능한 소스입니다.
내장된 rand() 함수는 32비트로 시드(seed)되므로 보안 애플리케이션에는 적합하지 않다고 간주됩니다.
예측 가능한 세션 ID로 인해 공격자가 시스템에 접근할 수 있게 될 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.