CVE-2009-10007
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Catalyst::Plugin::Authentication dla Perla przed wersją 0.10_027 umożliwia ataki fiksacji sesji. Biblioteka nie zmienia automatycznie identyfikatora sesji po uwierzytelnieniu, co pozwala atakującemu na przejęcie sesji ofiary.
Ocena ryzyka
Atakujący może wykorzystać stały identyfikator sesji do podszycia się pod uwierzytelnionego użytkownika, co prowadzi do nieautoryzowanego dostępu do kont i danych.
Rekomendacja
Należy zaktualizować bibliotekę Catalyst::Plugin::Authentication do wersji 0.10_027 lub nowszej, która automatycznie zmienia identyfikator sesji po udanym logowaniu.
Inne podatności w Catalyst::Plugin::Authentication
Zobacz wszystkie- CVE-2026-74846Niskie ryzyko· EPSS 20%
Wersje Catalyst::Plugin::Authentication dla Perla przed 0.10029 umożliwiają ataki czasowe na przechowywane hasła poprzez porównania eq w starszym weryfikatorze haseł. Przestarzała metoda login porównuje hasła jawnym tekstem, skróty crypt i skróty base64 za pomocą eq, więc czas porównania zależy od liczby pasujących początkowych bajtów.
- CVE-2026-5091Średnie
Catalyst::Plugin::Authentication dla Perla w wersjach do 0.10024 jest podatny na ataki timingowe. Te wersje używają wbudowanego porównania eq w Perlu. Różnice w czasie mogą być wykorzystane do odgadnięcia hasha lub hasła.
Oryginalny opis (angielski, źródło NVD)
Catalyst::Plugin::Authentication versions before 0.10_027 for Perl is susceptible to session fixation attacks. Catalyst::Plugin::Authentication does not automatically change the session id after authentication. An attacker that obtains a session id cookie can use this to impersonate the victim.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS