PT-2026-61538
CVE-2026-13577
·
تاريخ النشر
2026-07-20
·
تاريخ التحديث
2026-09-20
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Dancer2 السابقة للإصدار 2.1.0
الوصف
يتم إنشاء معرّفات جلسات غير آمنة عندما تكون وحدات مولد الأرقام العشوائية الزائفة الآمنة تشفيرياً (CSPRNG) غير متوفرة. تعود الدالة
generate id() في Dancer2::Core::Role::SessionFactory بصمت إلى معرّف جلسة مستمد من الدالة المدمجة rand() عندما يكون كل من Math::Random::ISAAC::XS وCrypt::URandom غير متوفرين. تستخدم آلية التراجع هذه تجزئة SHA-1 لمصادر ذات إنتروبيا منخفضة، بما في ذلك الدالة rand()، والمسار المطلق لوحدة Dancer2::Core::Role::SessionFactory، وعداد داخلي، ومعرف العملية، وعنوان ذاكرة مثيل الوحدة، وسلسلة أحرف مختلطة تم إنشاؤها عبر List::Util::shuffle(). نظرًا لأن الدالة المدمجة rand() تُزرع بقيمة أولية مكونة من 32 بتًا فقط، فهي غير مناسبة للأغراض الأمنية، مما قد يسمح للمهاجم بتوقع معرّفات الجلسات والحصول على وصول غير مصرح به إلى النظام.التوصيات
تحديث Dancer2 إلى إصدار أحدث من 2.1.0.
التأكد من تثبيت الوحدات النمطية
Math::Random::ISAAC::XS أو Crypt::URandom على النظام لتجنب اللجوء إلى الخيار الاحتياطي غير الآمن في generate id(). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾