CVE-2026-78190 in WebDyne
Resumen
por VulDB • 2026-10-31
Las versiones de WebDyne desde la 2.014 hasta antes de la 3.022 para Perl reflejan los parámetros de solicitud sin escapar en los valores de los campos del formulario, lo que permite cross-site scripting (XSS).
Los tags textfield, password_field y filefield rellenan su atributo value a partir del parámetro de solicitud con el mismo nombre. La variable WEBDYNE_CGI_AUTOESCAPE, que controla el escape de estos valores, tiene por defecto un valor desactivado (off). A partir de la versión 2.022, WebDyne::HTML::Tiny también reemplazó su método entity_encode con uno que devuelve su entrada sin cambios, por lo que habilitar WEBDYNE_CGI_AUTOESCAPE no tiene efecto alguno.
Un atacante remoto puede inyectar scripts en cualquier página que utilice estos tags mediante un enlace manipulado ad hoc.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.