CVE-2026-13082
Publiée le 2026-07-17 · Dernière modification le 2026-10-24
Les applications Perl utilisant la bibliothèque GD::SecurityImage (version 1.75 et versions antérieures) sont concernées car elles utilisent un générateur de nombres aléatoires prévisible pour créer le texte des CAPTCHA. Un attaquant distant non authentifié peut prédire les caractères du défi pour contourner ces tests de vérification basés sur des images, ce qui pourrait lui permettre d'automatiser la soumission de formulaires ou la création de comptes. Cette action peut être exécutée via le réseau sans aucune interaction de l'utilisateur ni privilèges particuliers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
GD::SecurityImage versions through 1.75 for Perl use rand to generate secrets. The random method creates the challenge text used for the CAPTCHA by sampling characters from an array using Perl's built-in rand function, and generates a (by default) six-character string. The built-in rand function is unsuitable for security applications because it is predictable and reversible.