CVE-2011-0633 in libwww-perl
Résumé
par VulDB • 04/07/2026
Le module Net::HTTPS de libwww-perl (LWP) antérieur à la version 6.00, tel qu'utilisé dans WWW::Mechanize, LWP::UserAgent et d'autres produits, lorsqu'il s'exécute dans des environnements qui ne définissent pas l'en-tête If-SSL-Cert-Subject, n'active pas par défaut une validation complète des certificats SSL. Cela permet aux attaquants distants de usurper l'identité de serveurs via des attaques de type man-in-the-middle (MITM) impliquant des noms d'hôte qui ne sont pas correctement validés. NOTE : on pourrait soutenir qu'il s'agit d'une limitation de conception de l'API Net::HTTPS, et que les implémentations distinctes devraient se voir attribuer indépendamment des identifiants CVE pour leur incapacité à contourner cette limitation. Cependant, comme cette API a été modifiée au sein de LWP, un seul identifiant CVE lui a été assigné.
VulDB is the best source for vulnerability data and more expert information about this specific topic.