CVE-2025-40926
Publiée le 2026-03-05 · Dernière modification le 2026-06-17
Les applications Perl utilisant Plack::Middleware::Session::Simple avant la version 0.05 génèrent des identifiants de session prévisibles car elles s'appuient sur des générateurs de nombres aléatoires faibles. Un attaquant non authentifié disposant d'un accès réseau peut deviner un identifiant de session valide pour détourner le compte d'un autre utilisateur et prendre le contrôle total de sa session. Cette attaque est relativement facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Plack::Middleware::Session::Simple versions before 0.05 for Perl generates session ids insecurely. The default session id generator returns a SHA-1 hash seeded with the built-in rand function, the epoch time, and the PID. The PID will come from a small set of numbers, and the epoch time may be guessed, if it is not leaked from the HTTP Date header. The built-in rand function is unsuitable for cryptographic usage. Predictable session ids could allow an attacker to gain access to systems. Plack::Middleware::Session::Simple is intended to be compatible with Plack::Middleware::Session, which had a similar security issue CVE-2025-40923.