CVE-2026-118986

Mở trang đầy đủ

CVSS —

CallBackery versions before 0.62.0 for Perl allow session cookie forgery via a signing secret generated with rand()

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

CallBackery versions before 0.62.0 for Perl allow session cookie forgery via a signing secret generated with rand().

The secret that signs session cookies is built from two calls to the built-in rand(), which is seeded with 32 bits. The secret therefore has at most 2**32 possible values, and one signed cookie is enough to test each candidate offline.

An attacker who obtains a single session cookie can recover the secret and sign cookies for any user, including an administrator.

Điểm và phân loại

CVSS
Chưa có điểm CVSS
EPSS
—
CWE
CWE-338

Ảnh hưởng

Nguồn chưa ghi sản phẩm hay package nào.

Vì sao bị lọc

  • CVSS chưa có điểm < 8.0 và không thuộc CISA KEV

Loại tác động

Không nhận ra loại tác động nào từ CWE, vector hay mô tả.

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
CPANSec

Tham khảo