CVE-2026-85485 in HTML::FormHandler
Zusammenfassung
von VulDB • 09.09.2026
HTML::FormHandler-Versionen vor 0.410002 für Perl rendern einige Fehlermeldungen als HTML, ohne diese zu escapen.
Das Table-Formularlayout sowie die Bootstrap-2- und -3-Wrappers fügen jede Fehlerzeichenkette direkt in das umgebende Markup ein. In Version 0.410000 wurde durch die Behebung von CVE-2026-19872 der entsprechende Wert in den anderen Layouts und Wrappern escaped, und mit Version 0.410002 wurde dies auf diese drei erweitert.
Fehlermeldungen, die angreiferbeeinflusste Inhalte wie abgelehnte Feldwerte enthalten, könnten JavaScript in gerenderten Seiten einbetten.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.