CVE-2026-9733

Nome do Software Vulnerável e Versões Afetadas Mojolicious::Plugin::Web::Auth::OAuth2 versões anteriores a 0.18

Descrição O módulo utiliza um parâmetro de estado padrão inseguro quando nenhum gerador de estado é especificado no construtor. Ele gera um hash SHA-1 usando fontes previsíveis e de baixa entropia, especificamente o tempo epoch — que é exposto no cabeçalho HTTP Date — e a função rand integrada do Perl. Essa previsibilidade permite que um invasor realize cross site request forgery (CSRF), uma técnica usada para enganar um usuário para executar ações indesejadas em uma aplicação web, podendo levar ao sequestro de sessão.

Recomendações Atualize para uma versão posterior a 0.17. Como mitigação temporária, especifique um gerador de estado seguro no construtor em vez de confiar na configuração padrão.