CVE-2026-75870
Publiée le 2026-08-22 · Dernière modification le 2026-10-14
Les applications Perl utilisant le framework Punk (versions antérieures à 0.18) sont concernées si la session est configurée sans clé secrète. Un attaquant distant non authentifié peut forger ses propres cookies de session pour usurper l'identité d'autres utilisateurs ou augmenter ses privilèges pour obtenir un rôle d'administrateur. Cette action est facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur et peut être réalisée entièrement via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Punk versions before 0.18 for Perl allow session cookie forgery via an empty default HMAC key when a session is declared without a secret. The session keyword freezes its options onto the application as given: it does not require a secret, warn, or refuse to start when one is absent. The cookie read and the write-back both default that key to the empty string, so a declaration with no secret option, or with an undefined or empty one, signs and verifies with a zero-length HMAC-SHA256 key. An attacker who knows the cookie format can then mint one offline carrying any contents the session holds, such as a user identifier or a role. Nothing marks the misconfiguration at runtime: cookies are well formed and sessions round-trip as expected.