CallBackery versions before 0.62.0 for Perl accept session cookies of any age sent in the X-Session-Cookie header

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

CallBackery versions before 0.62.0 for Perl accept session cookies of any age sent in the X-Session-Cookie header.

cookieConf() rejects a cookie older than 300 seconds only when it arrives in the xsc query parameter. The same cookie sent in the X-Session-Cookie header is accepted however old it is.

A session cookie that leaks through a log, a Referer header or browser history authenticates as its user indefinitely.

Üreticinin çözüm notu (İngilizce)

Upgrade to CallBackery 0.62.0 or later and set max_session_age in the BACKEND section.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• metacpan.org/release/OETIKER/CallBackery-0.62.0/changes Diğer

Kayıt geçmişi

1. 6 Kas 2026 20:00CVSS puanı değişti: – → 5.3
2. 30 Eki 2026 16:13Yayımlandı

İlgili açıklar

• 7,5 CVE-2026-118986CallBackery versions before 0.62.0 for Perl allow session cookie forgery via a signing secret generated with rand()
• 5,5 CVE-2026-118990CallBackery versions before 0.62.0 for Perl leave a world-readable dump of the configuration database in /tmp when taking a configuration backup
• 7,5 CVE-2026-118991CallBackery versions before 0.62.0 for Perl encrypt configuration backups with the padded password as the AES key
• 8,4 CVE-2026-118992CallBackery (Perl) yapılandırma yedeği geri yüklemede işletim sistemi komutu çalıştırma
• 7,5 CVE-2026-118993CallBackery versions before 0.62.0 for Perl allow denial of service via the request path interpolated as a regular expression under CGI, FastCGI and PSGI
• 9,8 CVE-2026-118994CallBackery versions before 0.62.0 for Perl allow log injection via newlines in the login name