CVE-2026-17552 in Plack::App::Prerender
الملخص
بحسب VulDB • 27/07/2026
تسمح الإصدارات السابقة من Plack::App::Prerender للإصدار 0.3.0 لنظام Perl بالبروكسي (proxy) إلى أي مضيف عبر دمج REQUEST_URI غير المُتحقق منه في الدالة call.
عندما يكون rewrite base عبارة عن سلسلة نصية عادية، يتم إلحاق REQUEST_URI به دون التحقق من أن المسار يبدأ بشرطة مائلة للأمام ('/').
عندما لا يحتوي rewrite base على مسار (وهو ما هو وارد كمثال قياسي في قسم SYNOPSIS)، يمكن لمهاجم إنشاء طلب يغير اسم المضيف. يؤدي عنوان الطلب الذي يبدأ بعلامة at-sign ('@') إلى تحويل الـ base إلى مكون userinfo وفقاً لـ RFC 3986.
على سبيل المثال، إذا كان rewrite base هو "https://example.com" والطلب المُقدم هو "GET @192.168.1.2/"، فسيتم إرسال الطلب إلى "https://[email protected]/"، مع إرجاع المحتوى المعروض للمهاجم.
يتيح ذلك لمهاجم الوصول إلى المضيفين الداخليين أو المقيدون الذين لا يمكن سوى لخادم الويب (webserver) الوصول إليها.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.