FICHE CVE

CVE-2026-11625

Publiée le 2026-06-26 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les applications utilisant la bibliothèque Perl `Bytes::Random::Secure` (version 0.29 et versions antérieures) peuvent produire des séquences identiques de nombres « aléatoires » à travers différents processus dérivés (forked). Un attaquant peut exploiter cette prévisibilité pour deviner des secrets sensibles, tels que des jetons de session ou des clés API, générés par un serveur multiprocessus. Cela peut être effectué à distance, sans aucune authentification ni interaction de l'utilisateur.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-335

Publiée2026-06-26

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Bytes::Random::Secure versions through 0.29 for Perl share internal state across forked processes. When an object is initialised before forking, or when the functional interface is used, then the internal state for the PRNG is shared across processes and identical random streams will be produced. Secrets generated in multiprocess applications are predictable across processes.