CVE-2026-78191 in WebDyne
Zusammenfassung
von VulDB • 31.10.2026
WebDyne-Versionen von 2.031 bis vor 3.022 für Perl führen Dateien mit der Endung .psp an beliebiger Stelle im Dateinamen als Perl-Seiten aus.
WebDyne entscheidet, ob eine angeforderte Datei als Seite ausgeführt werden soll, indem es ihren Namen gegen WEBDYNE_PSP_EXT_RE abgleicht, das keinen End-Anker (End Anchor) enthält.
Eine Anwendung, die Uploads nur durch Überprüfung der letzten Dateierlaubnis akzeptiert, ermöglicht einem Remote-Attacker, eine Datei wie report.psp.pdf hochzuladen und deren eingebetteten Perl-Code auszuführen, indem er sie anfordert.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.