CVE-2009-10007
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Catalyst::Plugin::Authentication dla Perla przed wersją 0.10_027 umożliwia ataki fiksacji sesji. Biblioteka nie zmienia automatycznie identyfikatora sesji po uwierzytelnieniu, co pozwala atakującemu na przejęcie sesji ofiary.
Ocena ryzyka
Atakujący może wykorzystać stały identyfikator sesji do podszycia się pod uwierzytelnionego użytkownika, co prowadzi do nieautoryzowanego dostępu do kont i danych.
Rekomendacja
Należy zaktualizować bibliotekę Catalyst::Plugin::Authentication do wersji 0.10_027 lub nowszej, która automatycznie zmienia identyfikator sesji po udanym logowaniu.
Oryginalny opis (angielski, źródło NVD)
Catalyst::Plugin::Authentication versions before 0.10_027 for Perl is susceptible to session fixation attacks. Catalyst::Plugin::Authentication does not automatically change the session id after authentication. An attacker that obtains a session id cookie can use this to impersonate the victim.