CVE-2026-61500

Rejetto HFS dalla 3.0.0 alla 3.2.0 deriva la chiave di firma del cookie di sessione dal generatore non crittografico Math.random() e divulga gli output dello stesso generatore ai client non autenticati durante il login. Un attaccante remoto può raccogliere un piccolo numero di risposte di login, ricostruire lo stato del generatore, recuperare la chiave di firma e falsificare un cookie di sessione amministratore valido, ottenendo accesso amministrativo completo ed esecuzione di codice remoto tramite la funzionalità di configurazione server_code.