Dançador 2 versões através 2.1.0 para o Perl gerar ids de sessão inseguros quando os módulos CSPRNG não estiverem disponíveis. Dançador 2::Core:::Role::SessionFactory::generate_id cai de volta silenciosamente para um id de sessão rand- derivado de built quando ambos Matemática::Random::ISAAC::XS e Cripta::URandom não estão disponíveis. O id de sessão de reposição é gerado a partir de um SHA- 1 hash de uma chamada para a função rand incorporada, o caminho absoluto do dançarino 2::Core::Role::SessionFactory module, um contador interno, o id de processo, o endereço de memória de instância do módulo e uma cadeia de caracteres embalados (usando a função Lista::Util:: shuffle, que também usa a função rand incorporada). Estas são fontes de baixa entropia e facilmente adivinhadas.
A função rand() incorporada é semeada com 32 - bits e considerados inadequados para aplicações de segurança. Os ids de sessão previsíveis poderiam permitir que um atacante obtém acesso aos sistemas. Registro de aconselhamento: GHSA- ccc 2 - 34 g 9 - j 7 RG. Identificadores relacionados: CVE- 2026 - 13577. Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 20 T 09: 31: 08.000 Z e lista a sua última modificação como 2026 - 07 - 20 T 15: 32: 03.000 Z.
Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H. Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 338. O registro contém 3 suporte de referências nestes tipos: AVISO, WEB.