CVE-2026-2439

Perl üçün Concierge::Sessions-ın 0.8.1-dən 0.8.5-ə qədər olan versiyaları təhlükəsiz olmayan sessiya ID-ləri yaradır. Concierge::Sessions::Base daxilindəki generate_session_id funksiyası UUID yaratmaq üçün standart olaraq uuidgen əmrindən istifadə edir və alternativ olaraq Perlin daxili rand funksiyasından istifadə edir. Bu metodların heç biri təhlükəsiz deyil və hücumçular sistemlərə giriş imkanı verən session_id-ləri təxmin edə bilirlər. Xüsusilə: * uuidgen uğursuz olduqda heç bir xəbərdarlıq verilmir. Əgər əmr hər hansı səbəbdən işləməsə, proqram heç bir xəbərdarlıq olmadan səssizcə alternativ rand() funksiyasından istifadə edə bilər. * Sistemdə yüksək keyfiyyətli təsadüfi ədəd mənbəyi olmadıqda, uuidgen əmri zaman əsaslı UUID yaradacaqdır, çünki çağırışda açıq şəkildə --random seçimi göstərilmir. Nəzərə alın ki, sistem vaxtı HTTP cavablarında paylaşılır. * RFC 9562-yə əsasən, UUID-lər sadəcə sahib olması ilə giriş imkanı verən identifikatorlardır. * Daxili rand() funksiyasının nəticəsi proqnozlaşdırılandır və təhlükəsizlik tətbiqləri üçün uyğun deyildir.