CVE-2026-75870
Açıklama
Perl için Punk'ın 0.18 öncesi sürümleri, bir oturum gizli anahtar (secret) olmadan tanımlandığında boş varsayılan HMAC anahtarı aracılığıyla oturum çerezi sahteciliğine izin verir. session anahtar kelimesi seçeneklerini uygulamaya verildiği haliyle sabitler: bir gizli anahtar gerektirmez, eksikliğinde uyarı vermez veya başlatmayı reddetmez. Hem çerez okuma hem de geri yazma işlemleri bu anahtarı varsayılan olarak boş dizeye ayarlar; bu nedenle gizli anahtar seçeneği olmayan veya tanımsız ya da boş olan bir tanımlama, sıfır uzunluklu bir HMAC-SHA256 anahtarı ile imzalar ve doğrular. Çerez formatını bilen bir saldırgan, kullanıcı kimliği veya rol gibi oturumun tuttuğu herhangi bir içeriği taşıyan bir çerezi çevrimdışı olarak oluşturabilir. Çalışma zamanında bu yanlış yapılandırmayı belirten hiçbir şey yoktur: çerezler düzgün biçimlendirilmiştir ve oturumlar beklendiği gibi çalışır.
Nasıl düzeltilir
- Punk0.18 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Punk | v < 0.18 | 0.18 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.