CVE-2026-13577

Perl üçün Dancer2-nin 2.2.0-dan əvvəlki versiyaları tələb olunan CSPRNG modulları mövcud olmadıqda təhlükəsiz olmayan sessiya ID-ləri yaradır. Həm Math::Random::ISAAC::XS, həm də Crypt::URandom mövcud olmadığı halda, Dancer2::Core::Role::SessionFactory::generate_id səssiz şəkildə daxili rand funksiyasına əsaslanan sessiya ID-sinə keçid edir. Ehtiyat sessiya ID-si daxili rand funksiyasının çağırışının SHA-1 heşi, Dancer2::Core::Role::SessionFactory modulunun mütləq yolu, daxili sayğac, proses ID-si, modul instansiyasının yaddaş ünvanı və simvolların qarışıq sətrindən (həmçinin daxili rand funksiyasından istifadə edən List::Util::shuffle funksiyası vasitəsilə) yaradılır. Bunların hamısı aşağı entropiyalı və asanlıqla təxmin edilə bilən mənbələrdir. Daxili rand() funksiyası 32-bitlik toxumla (seed) başladılır və təhlükəsizlik tətbiqləri üçün uyğunsuz hesab olunur. Təxmin edilə bilən sessiya ID-ləri hücumçuya sistemlərə giriş əldə etməyə imkan verə bilər.