CVE-2026-5091
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Catalyst::Plugin::Authentication dla Perla w wersjach do 0.10024 jest podatny na ataki timingowe. Te wersje używają wbudowanego porównania eq w Perlu. Różnice w czasie mogą być wykorzystane do odgadnięcia hasha lub hasła.
Ocena ryzyka
Atakujący może wykorzystać różnice czasowe do odgadnięcia haseł lub hashów, co może prowadzić do nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj Catalyst::Plugin::Authentication do wersji powyżej 0.10024 lub zastosuj łatkę.
Inne podatności w Catalyst::Plugin::Authentication
Zobacz wszystkie- CVE-2009-10007Krytyczne
Podatność w bibliotece Catalyst::Plugin::Authentication dla Perla przed wersją 0.10_027 umożliwia ataki fiksacji sesji. Biblioteka nie zmienia automatycznie identyfikatora sesji po uwierzytelnieniu, co pozwala atakującemu na przejęcie sesji ofiary.
- CVE-2026-74846Niskie ryzyko· EPSS 20%
Wersje Catalyst::Plugin::Authentication dla Perla przed 0.10029 umożliwiają ataki czasowe na przechowywane hasła poprzez porównania eq w starszym weryfikatorze haseł. Przestarzała metoda login porównuje hasła jawnym tekstem, skróty crypt i skróty base64 za pomocą eq, więc czas porównania zależy od liczby pasujących początkowych bajtów.
Oryginalny opis (angielski, źródło NVD)
Catalyst::Plugin::Authentication versions through 0.10024 for Perl is susceptible to timing attacks. These versions use Perl's built-in eq comparison. Discrepencies in timing could be used to guess the underlying hash or password.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS