CVE-2026-3255
Publiée le 2026-02-27 · Dernière modification le 2026-06-17
Les applications Perl utilisant des versions de HTTP::Session2 antérieures à 1.12 peuvent générer des identifiants de session prévisibles, particulièrement sur les systèmes où `/dev/urandom` n'est pas disponible (comme Windows). Un attaquant distant non authentifié pourrait potentiellement deviner un identifiant de session valide pour détourner la session d'un utilisateur, lui octroyant ainsi un accès non autorisé au compte ou aux données de ce dernier. Cette attaque est relativement simple à exécuter via le réseau et ne nécessite aucune interaction de la part de la victime.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
HTTP::Session2 versions before 1.12 for Perl for Perl may generate weak session ids using the rand() function. The HTTP::Session2 session id generator returns a SHA-1 hash seeded with the built-in rand function, the epoch time, and the PID. The PID will come from a small set of numbers, and the epoch time may be guessed, if it is not leaked from the HTTP Date header. The built-in rand() function is unsuitable for cryptographic usage. HTTP::Session2 after version 1.02 will attempt to use the /dev/urandom device to generate a session id, but if the device is unavailable (for example, under Windows), then it will revert to the insecure method described above.