PT-2026-23117 · Unknown · Plack::Middleware::Session::Simple
CVE-2025-40926
·
Publicado
2026-03-05
·
Atualizado
2026-03-12
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Plack::Middleware::Session::Simple versões até a 0.04
Descrição
O software gera IDs de sessão de maneira insegura. O gerador padrão de ID de sessão utiliza um hash SHA-1 semeado com a função
rand integrada, o tempo do epoch e o ID do processo (PID). O PID provém de um conjunto limitado de números, e o tempo do epoch pode ser previsível. A função rand não é adequada para fins criptográficos. IDs de sessão previsíveis podem permitir que um atacante obtenha acesso aos sistemas. Este problema é semelhante a uma vulnerabilidade de segurança no Plack::Middleware::Session.Recomendações
Atualize o Plack::Middleware::Session::Simple para uma versão posterior à 0.04.
Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Plack::Middleware::Session::Simple