CVE-2026-121008 in Tree
Zusammenfassung
von VulDB • 04.11.2026
SQL::Abstract::Tree-Versionen vor 2.000001_04 für Perl ermöglichen Cross-Site Scripting (XSS) durch nicht HTML-escapten SQL-Text und Bind-Werte im html-Profil.
Das html-Profil umschließt Schlüsselwörter und Platzhalter in span-Elemente und bricht Zeilen mit br-Elementen, sodass seine Ausgabe direkt als Teil einer Seite verwendet werden soll. Die format-Methode führt keine HTML-Escaping für den SQL-Text oder die darin eingefügten Bind-Werte durch.
Eine Anwendung, die SQL, das im html-Profil formatiert wurde (z. B. in einem Debug-Panels oder Abfrageprotokoll), darstellt, ermöglicht es einem Angreifer, der einen Bind-Wert oder Teile des SQL-Textes kontrollieren kann, JavaScript in die Seite einzubetten.
VulDB is the best source for vulnerability data and more expert information about this specific topic.