CVE-2026-13577
Açıklama
Perl için Dancer2 sürümlerinin 2.2.0 öncesi sürümleri, gerekli CSPRNG modülleri mevcut olmadığında güvenli olmayan oturum kimlikleri üretir. Dancer2::Core::Role::SessionFactory::generate_id, hem Math::Random::ISAAC::XS hem de Crypt::URandom mevcut olmadıkça sessizce yerleşik rand türevi bir oturum kimliğine geri döner. Yedek oturum kimliği, yerleşik rand fonksiyonuna yapılan bir çağrının SHA-1 karmasından, Dancer2::Core::Role::SessionFactory modülünün mutlak yolundan, dahili bir sayaçtan, işlem kimliğinden, modül örneği bellek adresinden ve karıştırılmış bir karakter dizisinden (aynı zamanda yerleşik rand fonksiyonunu kullanan List::Util::shuffle fonksiyonu kullanılarak) üretilir. Bunların tümü düşük entropili ve kolayca tahmin edilebilir kaynaklardır. Yerleşik rand() fonksiyonu 32 bit ile tohumlanır ve güvenlik uygulamaları için uygun görülmez. Tahmin edilebilir oturum kimlikleri, bir saldırganın sistemlere erişim elde etmesine olanak tanıyabilir.
Nasıl düzeltilir
- Dancer22.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Dancer2 | v < 2.2.0 | 2.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.