CVE-2026-75870 in Punk
Sumário
de VulDB • 22/08/2026
As versões anteriores à 0.18 do Punk para Perl permitem a falsificação de cookies de sessão através de uma chave HMAC padrão vazia quando uma sessão é declarada sem um segredo (secret).
A palavra-chave session congura suas opções na aplicação conforme fornecido: ela não exige um segredo, nem emite avisos ou se recusa a iniciar quando este está ausente. A leitura do cookie e sua reescrita definem essa chave como uma string vazia por padrão; portanto, uma declaração sem a opção secret, ou com esta indefinida ou vazia, assina e verifica utilizando uma chave HMAC-SHA256 de comprimento zero.
Um atacante que conheça o formato do cookie pode então gerar um offline contendo qualquer conteúdo armazenado na sessão, como um identificador de usuário ou uma função (role). Nada marca essa configuração incorreta em tempo de execução: os cookies estão bem formados e as sessões funcionam conforme o esperado no ciclo completo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.