CVE-2026-19896
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W narzędziu dtale (mangroup) do wersji 3.22.0 wykryto podatność w funkcji build_secret_key w pliku dtale/app.py, dotyczącą ciasteczek sesji Flask. Problem polega na generowaniu niewystarczająco losowych wartości, co może umożliwić atakującemu przewidzenie klucza sesji. Atak jest zdalny, ale wymaga wysokiej złożoności. Exploit został opublikowany, a pull request z poprawką oczekuje na akceptację.
Ocena ryzyka
Przewidywalne klucze sesji mogą umożliwić atakującemu podszywanie się pod użytkowników i przejęcie sesji, co może prowadzić do nieautoryzowanego dostępu do danych.
Rekomendacja
Należy pilnie zastosować poprawkę lub tymczasowo ograniczyć dostęp do aplikacji, a także rozważyć użycie bezpiecznego generatora losowego.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in mangroup dtale up to 3.22.0. This vulnerability affects the function build_secret_key of the file dtale/app.py of the component Flask Session Cookie. This manipulation causes insufficiently random values. Remote exploitation of the attack is possible. The attack's complexity is rated as high. It is stated that the exploitability is difficult. The exploit has been published and may be used. The pull request to fix this issue awaits acceptance.