CVE-2024-58134
Publiée le 2025-05-03 · Dernière modification le 2026-06-17
Les applications web conçues avec Mojolicious (Perl) dans les versions allant jusqu'à 0.999922 sont concernées car elles utilisent des secrets par défaut prévisibles pour les cookies de session. Un attaquant disposant d'un compte utilisateur basique peut utiliser ces secrets connus pour falsifier des cookies, lui permettant ainsi de détourner les sessions d'autres utilisateurs ou d'élever ses propres privilèges. Cette action peut être exécutée à distance via le réseau sans aucune interaction de la part de l'utilisateur ciblé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- 9b29abf9-4ab0-4765-b253-1875cd9b441e
- 9b29abf9-4ab0-4765-b253-1875cd9b441e
- 9b29abf9-4ab0-4765-b253-1875cd9b441e
- 9b29abf9-4ab0-4765-b253-1875cd9b441e
- 9b29abf9-4ab0-4765-b253-1875cd9b441e
- 9b29abf9-4ab0-4765-b253-1875cd9b441e
- 9b29abf9-4ab0-4765-b253-1875cd9b441e
- 9b29abf9-4ab0-4765-b253-1875cd9b441e
- 9b29abf9-4ab0-4765-b253-1875cd9b441e
- 9b29abf9-4ab0-4765-b253-1875cd9b441e
- 9b29abf9-4ab0-4765-b253-1875cd9b441e
Description officielle du NVD (en anglais)
Mojolicious versions from 0.999922 for Perl uses a hard coded string, or the application's class name, as an HMAC session cookie secret by default. These predictable default secrets can be exploited by an attacker to forge session cookies. An attacker who knows or guesses the secret could compute valid HMAC signatures for the session cookie, allowing them to tamper with or hijack another user’s session.