Vulnerabilidades do HAYAJO Mojolicious::Plugin::Web::Auth::OAuth2

As versões do Mojolicious::Plugin::Web::Auth::OAuth2 até a 0.17 para Perl possuem um parâmetro state inseguro por padrão. Quando nenhum gerador de state é especificado no construtor, o módulo usa por padrão um hash SHA-1 de fontes previsíveis e de baixa entropia, incluindo o tempo em epoch (que é revelado pelo cabeçalho HTTP Date) e uma chamada à função rand embutida do Perl. Um state previsível permite que um atacante sequestre a sessão de outro usuário por meio de cross site request forgery (CSRF).