PT-2026-79780
CVE-2026-19565
·
تاريخ النشر
2026-08-23
·
تاريخ التحديث
2026-08-25
الوصف من
CVSS 3.1
3.7
منخفضةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache::AppSamurai::Util حتى الإصدار 1.01
الوصف
يتم إنشاء مفاتيح مصادقة الجلسة التي يمكن التنبؤ بها في الدالة
CreateSessionAuthKey(). تتضمن العملية خمس جولات من التجزئة باستخدام خوارزمية SHA-256، باستخدام معرّف العملية والقراءات من Time::HiRes المنسقة إلى ستة أرقام عشرية. ونظرًا لأن حقل الميكروثانية يحتوي على قيم محدودة، ومعرّف العملية مستمد من نطاق صغير، فإن المفتاح السداسي العشري المكون من 64 حرفًا الناتج يمكن التنبؤ به. يُستخدم هذا المفتاح كملف تعريف ارتباط للجلسة ويتم دمجه مع مفتاح الخادم لحساب معرّفات الجلسات وتشفير بيانات الجلسة. يمكن للمهاجم الذي يعرف ثانية إنشاء الجلسة ومعرّف عملية العامل أن يقوم بتعداد المفاتيح المحتملة لاستعادة ملف تعريف ارتباط الضحية وتجاوز المصادقة على الموارد المحمية.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾