CVE-2026-8503

Perl için Apache::Session::Generate::SHA256'nın 1.3.19 öncesi sürümleri güvensiz oturum kimlikleri oluşturmaktadır. Apache::Session::Generate::SHA256, oturum kimliklerini güvensiz bir şekilde üretmekteydi. Varsayılan oturum kimliği oluşturucu; yerleşik rand() fonksiyonunun, epoch zamanının ve PID'nin SHA-256 özetini döndürmekte ve bu değer tekrar özetlenmektedir. Bunlar tahmin edilebilir, düşük entropili kaynaklardır. Tahmin edilebilir oturum kimlikleri, bir saldırganın sistemlere erişim sağlamasına izin verebilir. Crypt::URandom::urandom çağrısının başarısız olması durumunda, sürüm 1.3.19'un herhangi bir uyarı vermeden güvensiz oturum oluşturma yöntemine geri döndüğüne dikkat edilmelidir. Ancak, Crypt::URandom modülün sabit kodlanmış bir gereksinimi olduğundan bu durum düşük bir olasılıktır. Bu sorun, Apache::Session::Generate::MD5 için geçerli olan CVE-2025-40931 ile benzerdir.