CVE-2026-66372
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Produkty wykorzystują niewystarczająco losowe wartości, co sprawia, że tokeny sesji web są przewidywalne, a entropia tokenów ograniczona jest do przestrzeni ziarna generatora.
Ocena ryzyka
Przewidywalne tokeny sesji mogą umożliwić atakującemu odgadnięcie lub podszycie się pod sesję uwierzytelnionego użytkownika, prowadząc do przejęcia konta.
Rekomendacja
Zaktualizuj dotknięty produkt do wersji, w której poprawiono generowanie losowych wartości, oraz unieważnij istniejące tokeny sesji.
Inne podatności w Affected products
Zobacz wszystkie- CVE-2026-93289Wysokie
Produkty objęte podatnością są narażone na atak wstrzyknięcia poleceń, który może pozwolić nieuwierzytelnionemu atakującemu na wykonanie poleceń systemowych podczas procesu parowania.
- CVE-2026-68950Wysokie
Produkty dotknięte podatnością używają zakodowanych na stałe poświadczeń, co może pozwolić atakującemu na uruchomienie usługi ftpd jako root, zapewniając zdalny dostęp do plików jako root, gdzie FTP jest osiągalny.
- CVE-2026-68070Wysokie
Produkty dotknięte podatnością nie mają uwierzytelniania dla krytycznej funkcji, co może pozwolić atakującemu na uruchomienie jako root i przekazywanie otrzymanych bajtów bezpośrednio do polecenia systemowego.
- CVE-2024-7956Wysokie
Podatność w dotkniętych produktach umożliwia atakującemu z podstawowymi uprawnieniami użytkownika dostęp do projektów innych użytkowników. Atakujący może modyfikować i usuwać projekty.
Oryginalny opis (angielski, źródło NVD)
The affected products use insufficiently random values, which allows web session tokens to be predictable, bounding token entropy to the seed space.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS