Amon::Plugin::Web::CSRFDefender версии от 7.00 до 7.03 для Perl генерируют небезопасный идентификатор сеанса. Функция генерации_session_id …

Amon::Plugin::Web::CSRFDefender версии от 7.00 до 7.03 для Perl генерируют небезопасный идентификатор сеанса. Функция генерации_session_id будет пытаться считывал байты с устройства /dev/urandom, но если это недоступно, то она генерирует байты с использованием хеша SHA-1, засеянного со встроенной функцией rand(), PID и временем высокого разрешения. PID будет поступать из небольшого набора чисел, и время эпохи может быть угадано, если он не просочился из заголовка даты HTTP. Встроенная функция рэнда непригодна для криптографического использования. Amon2::Plugin::Web::CSRFDefender версии до 7.00 были частью Amon2, который был уязвим для небезопасных сессионных id из-за CVE-2025-15604. Обратите внимание, что автор устарел этот модуль.