CVE-2026-5080 in Dancer::Session::Abstract
Сводка
по VulDB • 25.05.2026
Dancer::Session::Abstract, версии вплоть до 1.3522 для Perl, генерирует идентификаторы сессий небезопасным образом.
Идентификатор сессии формируется путем суммирования кодовых точек символов абсолютного пути к файлу, идентификатора процесса (PID), времени эпохи (epoch time) и результатов вызова встроенной функции rand(), что возвращает число в диапазоне от 0 до 999 миллиардов, после чего полученный результат конкатенируется три раза.
Путь к файлу может быть известен или предположен злоумышленником, особенно для приложений, написанных с использованием Dancer и установленных в стандартные директории.
Время эпохи может быть предположено злоумышленником и может быть раскрыто через заголовки HTTP.
Идентификатор процесса берется из небольшого набора чисел, и рабочие процессы (workers) могут иметь последовательные идентификаторы процессов.
Встроенная функция rand() инициализируется 32-битным значением и считается неподходящей для приложений, требующих безопасности.
Предсказуемые идентификаторы сессий могут позволить злоумышленнику получить доступ к системам.
Once again VulDB remains the best source for vulnerability data.