Vulnerabilidades de HAYAJO
CVEs publicadas que afetam produtos de HAYAJO: 2 registro(s), com severidade, exploração e correções.
CVE-2026-9733
Crítica · 9.1
CWE-338 23/06/2026
Plugin OAuth2 do Mojolicious para Perl: parâmetro state previsível por padrão (CWE-338)
As versões do Mojolicious::Plugin::Web::Auth::OAuth2 até a 0.17 para Perl possuem um parâmetro state inseguro por padrão.
Quando nenhum gerador de state é especificado no construtor, o módulo usa por padrão um hash SHA-1 de fontes previsíveis e de baixa entropia, incluindo o tempo em epoch (que é revelado pelo cabeçalho HTTP Date) e uma chamada à função rand embutida do Perl.
Um state previsível permite que um atacante sequestre a sessão de outro usuário por meio de cross site request forgery (CSRF).
CVE-2026-9692
Média · 5.3
CWE-338 18/06/2026
Mojolicious::Sessions::Storable versions through 0.05 for Perl generate session ids insecurely
Mojolicious::Sessions::Storable versions through 0.05 for Perl generate session ids insecurely.
The default session id generator returns a SHA-1 hash seeded with the built-in rand function, the epoch time, the heap address of an anonymous hash, and the PID.
These are predictable or low-entropy sources that are unsuitable for security purposes.