Vulnerabilidad en Dancer2 de CROMEDOME (CVE-2026-13577)

Las versiones de Dancer2 hasta la 2.1.0 para Perl generan identificadores de sesión inseguros cuando los módulos CSPRNG requeridos no están disponibles.<br /> <br /> Dancer2::Core::Role::SessionFactory::generate_id recurre silenciosamente a un identificador de sesión derivado de la función ’rand’ incorporada a menos que Math::Random::ISAAC::XS y Crypt::URandom estén ambos disponibles.<br /> <br /> El identificador de sesión de respaldo se genera a partir de un hash SHA-1 de una llamada a la función ’rand’ incorporada, la ruta absoluta del módulo Dancer2::Core::Role::SessionFactory, un contador interno, el ID del proceso, la dirección de memoria de la instancia del módulo y una cadena de caracteres mezclada (utilizando la función List::Util::shuffle, que también usa la función ’rand’ incorporada).<br /> <br /> Todas estas son fuentes de baja entropía y fácilmente predecibles.<br /> <br /> La función ’rand()’ incorporada se inicializa con 32 bits y se considera inadecuada para aplicaciones de seguridad.<br /> <br /> Los identificadores de sesión predecibles podrían permitir a un atacante obtener acceso a los sistemas.