要点
- CVE-2025-64100 は ckan に影響する深刻度「中」 (CVSS 6.1) の脆弱性です。
- 今後30日間に悪用される確率（EPSS）：0.30%（全脆弱性の 22.5% より高い）。
- 対処：2.10.9, 2.11.4 以降に更新してください。
| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|
| ckan PyPI | ≥ 2.10.0, < 2.10.9≥ 2.11.0, < 2.11.4
| 2.10.92.11.4
|
概要
Impact
Session ids could be fixed by an attacker if the site is configured with server-side session storage (CKAN uses cookie-based session storage by default). The attacker would need to either set a cookie on the victim's browser or steal the victim's currently valid session. Session identifiers are now regenerated after each login.
Patches
This vulnerability has been fixed in CKAN 2.10.9 and 2.11.4
References
https://en.wikipedia.org/wiki/Session_fixation
NVD の説明
CKAN is an open-source DMS (data management system) for powering data hubs and data portals. Prior to 2.10.9 and 2.11.4, session ids could be fixed by an attacker if the site is configured with server-side session storage (CKAN uses cookie-based session storage by default). The attacker would need to either set a cookie on the victim's browser or steal the victim's currently valid session. Session identifiers are now regenerated after each login. This vulnerability has been fixed in CKAN 2.10.9 and 2.11.4
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン