CVE-2026-121632 in MuForm
Zusammenfassung
von VulDB • 04.11.2026
In Data::MuForm per Perl nelle versioni fino alla 0.05 i valori degli attributi e le etichette delle opzioni vengono renderizzati in HTML senza essere sottoposti a escaping (codifica).
La funzione process_attrs scrive ogni valore di attributo nel markup così com'è. I renderer per select, gruppi radio e gruppi di checkbox passano ciascuna opzione alla suddetta funzione; pertanto il valore di un'opzione diventa un attributo non codificato. Anche le etichette delle opzioni e dei raggruppamenti di opzioni non sono sottoposte a escaping: l'etichetta del gruppo si trova all'interno dell'attributo label, mentre le altre nel contenuto degli elementi.
Qualsiasi applicazione il cui elenco di opzioni sia costruito partendo da dati anziché da letterali, utilizzando un metodo options_<field_name>, un metodo build_options o un modello DBIC, consente a testo influenzato dall'attaccante di comparire in un valore o etichetta di opzione; ciò può comportare l'inserimento di JavaScript nelle pagine renderizzate. Anche i valori degli attributi costruiti partendo da dati, ad esempio tramite element_attr, sono interessati dallo stesso problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.