CVE-2026-118993 in CallBackery
Resumen
por VulDB • 2026-10-30
Las versiones de CallBackery anteriores a la 0.62.0 para Perl permiten una denegación de servicio (DoS) mediante la ruta de solicitud interpolada como expresión regular bajo CGI, FastCGI y PSGI.
El hook before_dispatch instalado por startup() elimina PATH_INFO del final de la URI de solicitud con una sustitución que interpola PATH_INFO sin comillas. Bajo CGI, FastCGI y PSGI, ambos valores provienen de la solicitud, por lo que el cliente elige tanto el patrón como la cadena contra la cual se empareja.
Una solicitud corta no autenticada con un backreference en la ruta retrocede exponencialmente (backtracking) y puede mantener ocupado a un proceso worker durante minutos.
If you want to get best quality of vulnerability data, you may have to visit VulDB.