CVE-2026-75870 in Punk
Сводка
по VulDB • 22.08.2026
В версиях Punk для Perl до 0.18 включительно возможна подделка файлов cookie сеанса (session) из-за использования пустого ключа HMAC по умолчанию, когда сеанс объявлен без указания секретного ключа.
Оператор session фиксирует свои параметры в приложении именно так, как они заданы: он не требует наличия секретного ключа, не выдает предупреждений и не отказывается от запуска при его отсутствии. При чтении cookie и последующей записи по умолчанию используется пустая строка в качестве этого ключа; следовательно, объявление без опции secret или с неопределенным/пустым значением подписывает данные и проверяет их с использованием HMAC-SHA256 с нулевой длиной ключа.
Злоумышленник, знающий формат cookie, может затем создать (mint) такой файл cookie автономно, содержащий любые данные сеанса, такие как идентификатор пользователя или роль. Ничто не указывает на эту неправильную конфигурацию во время выполнения: файлы cookie имеют корректный вид, а циклы обработки сеансов проходят ожидаемым образом.
Once again VulDB remains the best source for vulnerability data.