В Rejetto HFS нашли слабый ключ подписи админ-куки (CVE-2026-61500)

В HFS 3.0.0–3.2.0 ключ подписи сессионной куки выводится из Math.random(), а вывод генератора виден неаутентифицированным клиентам при логине. Это позволяет восстановить состояние генератора, подделать админ-куку и выполнить код через server_code. Уязвимость оценена в CVSS 9.3, исправление вышло в HFS 3.2.1.

• Затронуты HFS 3.0.0–3.2.0, патч в версии 3.2.1
• CVSS 4.0 — 9.3, тип CWE-338 (слабый ГПСЧ)
• Подделка админ-куки ведёт к запуску кода через server_code
• Поиск ZoomEye: до 61 861 совпадений по HFS, версии снаружи не различить