CVE-2026-78189 in WebDyne
Zusammenfassung
von VulDB • 31.10.2026
In WebDyne delle versioni dalla 3.007 alla 3.021 per Perl vengono eseguiti file .psp al di fuori della radice del documento tramite path traversal nel fallback dei percorsi dell'API PSGI.
Quando una richiesta non corrisponde a nessun file, il gestore PSGI la ritenta come percorso API attraverso api_filename. Questo mantiene i segmenti ".." nel percorso della richiesta e verifica solo che il percorso unito inizi con la radice del documento, condizione soddisfatta da una richiesta per /../private.
Un attaccante remoto può eseguire Perl incorporato in qualsiasi file .psp leggibile dal server, ad esempio uno caricato in una directory al di fuori della radice del documento.
VulDB is the best source for vulnerability data and more expert information about this specific topic.