CVE-2026-9323

urwid veb-ekran backend-i (urwid/display/web.py) Screen.start() funksiyasında veb-sessiya identifikatorlarını (urwid_id) Python-un kriptoqrafik cəhətdən təhlükəsiz olmayan Mersenne Twister PRNG-indən istifadə edən iki random.randrange(10**9) çağırışını birləşdirməklə yaradır. Hər çağırış PRNG vəziyyətinin təxminən 30 bitini sərf edir, Mersenne Twister-in daxili vəziyyəti isə təxminən 19,937 bitdir, buna görə də təxminən 334 sessiya ID-si müşahidə edən hücumçu (məsələn, X-Urwid-ID HTTP cavab başlığı vasitəsilə) daxili vəziyyəti tam bərpa edə və bütün keçmiş və gələcək sessiya ID-lərini proqnozlaşdıra bilər (Path B). Həmin identifikator həmçinin dünya üzrə siyahılaşdırıla bilən /tmp qovluğunda yaradılan FIFO-nun fayl adı kimi istifadə olunur (məsələn, /tmp/urwid375487765176907690.in), buna görə də hostdakı istənilən lokal istifadəçi aktiv sessiya tokenlərini birbaşa sadalamaq üçün /tmp-ni siyahıya ala bilər (Path A). Etibarlı sessiya ID-si ilə hücumçu sorğu endpoint-i vasitəsilə qurbanın terminal ekranını oxuya, qurbanın sessiyasına klaviatura daxiletmələri yeridə (sessiya shell işlədirsə, sessiya sahibinin imtiyazları ilə OS səviyyəsində kodun icrası ilə nəticələnir) və çıxış ardıcıllıqları yeridə və ya FIFO-nu daşqına uğrada bilər ki, bu da sessiyanı dayandırır və ya crash edir. Bu istifadə ilə bağlı əvvəlki Bandit S311 xəbərdarlığı düzəldilmək əvəzinə # noqa: S311 ilə susdurulmuşdu