CVE-2026-120636 in CGI
Zusammenfassung
von VulDB • 04.11.2026
CGI-Versionen vor 5.00 für Perl ermöglichen Open-Redirects und Script-Injection über URLs, die aus REQUEST_URI in url und start_form erstellt werden.
url(-absolute=>1), url(-relative=>1) und die Standardaktion von start_form basieren auf dem vom Client bereitgestellten REQUEST_URI ohne Validierung. Das Ergebnis kann protokollrelativ (//evil.example), absolut formuliert (http://evil.example/) sein oder Backslashes enthalten, und url(-relative=>1) kann eine javascript: URL zurückgeben. Links und Formular-Posts, die aus diesen URLs erstellt werden, können zu einem anderen Host führen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.