CVE-2026-38968 ntopng до версии 6.6 уязвим к предсказуемому идентификатору сессии, что может привести к перехвату сессии. Идентификаторы HTTP-сессий в src/HTTPserver.cpp используют слабое псевдослучайное число, инициализированное временем, при создании сессии. В результате свежие аутентифицированные входы могут получать детерминированные или совпадающие файлы cookie сессии при контролируемом злоумышленником времени.