CVE-2026-78190 in WebDyne
Zusammenfassung
von VulDB • 31.10.2026
WebDyne-Versionen ab 2.014 bis vor 3.022 für Perl geben Anforderungsparameter unescaped in Formularfeldwerte zurück, was Cross-Site Scripting (XSS) ermöglicht.
Die Tags textfield, password_field und filefield füllen ihr Attribut value aus dem gleichnamigen Anforderungsparameter. WEBDYNE_CGI_AUTOESCAPE, das die Escaping dieser Werte steuert, ist standardmäßig deaktiviert. Ab Version 2.022 hat WebDyne::HTML::Tiny seine Methode entity_encode durch eine ersetzt, die ihre Eingabe unverändert zurückgibt, sodass das Aktivieren von WEBDYNE_CGI_AUTOESCAPE keine Wirkung hat.
Ein entfernter Angreifer kann Skripte in jede Seite injizieren, die diese Tags verwendet, indem er einen speziell angefertigten Link nutzt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.