Към съдържанието
Търсене

CVE-2026-9733: HAYAJO Mojolicious::Plugin::Web::Auth::OAuth2, слаба

9.1

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Mojolicious::Plugin::Web::Auth::OAuth2 versions through 0.17 for Perl have an insecure default state parameter. When no state generator is specified in the constructor, the module defaults to using a SHA-1 hash of predictable and low-entropy sources, including the epoch time (which is leaked via the HTTP Date header) and a call to Perl's built-in rand function. A predictable state allows an attacker to hijack another user's session through cross site request forgery (CSRF).

Засегнати продукти

  • HAYAJO Mojolicious::Plugin::Web::Auth::OAuth2: до 0.17

Вид слабост

История

  • 23 юни 2026 Публикувано

Първоизточници

CVE-2026-9733: HAYAJO Mojolicious::Plugin::Web::Auth::OAuth2, слаба | freedomonline.bg