CVE-2025-40920
Publiée le 2025-08-11 · Dernière modification le 2026-06-17
Les applications utilisant le module Perl `Catalyst::Authentication::Credential::HTTP` en version 1.018 ou antérieure sont affectées par une génération de nonce faible. Un attaquant non authentifié disposant d'un accès réseau peut prédire ces valeurs pour potentiellement intercepter ou usurper des sessions authentifiées, obtenant ainsi un accès non autorisé à des données sensibles. Comme aucune interaction de l'utilisateur ni aucun privilège particulier ne sont requis, cette attaque est relativement simple à exécuter via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Catalyst::Authentication::Credential::HTTP versions 1.018 and earlier for Perl generate nonces using the Perl Data::UUID library. * Data::UUID does not use a strong cryptographic source for generating UUIDs. * Data::UUID returns v3 UUIDs, which are generated from known information and are unsuitable for security, as per RFC 9562. * The nonces should be generated from a strong cryptographic source, as per RFC 7616.