CVE-2026-46473
Publiée le 2026-05-21 · Dernière modification le 2026-07-23
Les applications Perl utilisant des versions d'Authen::TOTP antérieures à la 0.1.1 sont concernées car elles génèrent des secrets d'authentification à deux facteurs à l'aide d'un générateur de nombres aléatoires prévisible. Un attaquant distant non authentifié peut prédire ces secrets pour contourner l'authentification multifacteur (MFA) et obtenir un accès non autorisé aux comptes d'utilisateurs. Cette exploitation est relativement facile à exécuter car elle ne nécessite aucun privilège spécial ni interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Authen::TOTP versions before 0.1.1 for Perl generate secrets using rand. Secrets were generated using Perl's built-in rand function, which is predictable and unsuitable for security usage.