CVE-2026-78190
الملخص
بحسب VulDB • 31/10/2026
تسمح إصدارات WebDyne بدءاً من 2.014 وحتى قبل 3.022 لـ Perl بعكس معاملات الطلب (request parameters) غير المُهْرَبَة إلى قيم حقول النماذج، مما يتيح هجمات البرمجة عبر المواقع (XSS).
تقوم وسوم `textfield` و`password_field` و`filefield` بملء سمة القيمة الخاصة بها من معامل الطلب الذي يحمل الاسم نفسه. ومع ذلك، فإن المتغير `WEBDYNE_CGI_AUTOESCAPE`، الذي يتحكم في تهريب هذه القيم، يكون افتراضياً معطلاً (off). ومن الإصدار 2.022 فصاعداً، استبدلت المكتبة `WebDyne::HTML::Tiny` دالة `entity_encode` الخاصة بها بدالة أخرى تعيد المدخلات كما هي دون تغيير، مما يعني أن تفعيل `WEBDYNE_CGI_AUTOESCAPE` لا يُحدث أي تأثير.
يمكن لمهاجم عن بُعد حقن سكريبت في أي صفحة تستخدم هذه الوسوم من خلال رابط مُصاغ بشكل خبيث (crafted link).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.