CVE-2026-75870
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W bibliotece Punk dla języka Perl przed wersją 0.18 występuje podatność na fałszowanie ciasteczek sesji. Gdy sesja jest deklarowana bez sekretu, domyślny klucz HMAC jest pusty, co pozwala atakującemu na tworzenie własnych ciasteczek sesji z dowolną zawartością, taką jak identyfikator użytkownika lub rola.
Ocena ryzyka
Atakujący może podszyć się pod dowolnego użytkownika, co może prowadzić do nieautoryzowanego dostępu do kont i naruszenia integralności sesji.
Rekomendacja
Zaktualizuj bibliotekę Punk do wersji 0.18 lub nowszej. Upewnij się, że wszystkie sesje są deklarowane z jawnym, silnym sekretem.
Oryginalny opis (angielski, źródło NVD)
Punk versions before 0.18 for Perl allow session cookie forgery via an empty default HMAC key when a session is declared without a secret. The session keyword freezes its options onto the application as given: it does not require a secret, warn, or refuse to start when one is absent. The cookie read and the write-back both default that key to the empty string, so a declaration with no secret option, or with an undefined or empty one, signs and verifies with a zero-length HMAC-SHA256 key. An attacker who knows the cookie format can then mint one offline carrying any contents the session holds, such as a user identifier or a role. Nothing marks the misconfiguration at runtime: cookies are well formed and sessions round-trip as expected.