PT-2026-41294 · Guimard+3 · Apache::Session::Generate::Sha256+3

CVE-2026-8503 · Publicado 2026-05-15 · Atualizado 2026-05-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Apache::Session::Generate::SHA256 versões anteriores a 1.3.19

Descrição O gerador de ID de sessão padrão cria IDs de sessão inseguros ao retornar um hash SHA-256 da função integrada rand(), do tempo epoch e do PID, que é então hasheado novamente. Essas fontes são previsíveis e possuem baixa entropia, o que pode permitir que um invasor obtenha acesso não autorizado a sistemas.

Recomendações Atualize para a versão 1.3.19 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-340

CWE-338

Identificadores relacionados

CVE-2026-8503

Produtos afetados

Apache::Session::Generate::Sha256

Apache::Session::Browseable

Apache

Libapache-Session-Browseable-Perl

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/8xxx/CVE-2026-8503.json · Exploit
• https://github.com/LemonLDAPNG/Apache-Session-Browseable · Nota
• https://github.com/LemonLDAPNG/Apache-Session-Browseable/commit/cc915cbbd266776eec3dd8bf4748b15fa827dbd0 · Nota
• https://github.com/LemonLDAPNG/Apache-Session-Browseable/commit/cc915cbbd266776eec3dd8bf4748b15fa827dbd0.patch · Correção
• https://cve.org/CVERecord?id=CVE-2025-40931 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-8503 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-8503 · Aviso do Fabricante
• https://twitter.com/oss_security/status/2056947346152329657 · Publicação no Twitter
• https://metacpan.org/release/GUIMARD/Apache-Session-Browseable-1.3.19/changes · Nota
• https://cve.org/CVERecord?id=CVE-2025-40932 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-8503 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-8503 · Nota de Segurança
• https://lists.security.metacpan.org/cve-announce/msg/40079348 · Nota
• https://ubuntu.com/security/CVE-2026-8503 · Aviso do Fabricante
• https://metacpan.org/release/GUIMARD/Apache-Session-Browseable-1.3.19/diff/GUIMARD/Apache-Session-Browseable-1.3.18#lib/Apache/Session/Generate/SHA256.pm · Nota