CVE-2026-17552 in Plack::App::Prerender
Résumé
par VulDB • 27/07/2026
Les versions de Plack::App::Prerender antérieures à la 0.3.0 pour Perl peuvent effectuer un proxy vers n'importe quel hôte via une concaténation non validée du REQUEST_URI dans l'appel.
Lorsque la base de réécriture est une chaîne simple, le REQUEST_URI y est ajouté sans vérifier que le chemin commence par une barre oblique ('/').
Si la base de réwriting ne contient pas de chemin (ce qui correspond à la norme indiquée dans le SYNOPSIS), un attaquant peut créer une requête modifiant l'hôte. Une cible de requête commençant par un arobase ('@') transforme la base en composant userinfo selon RFC 3986.
Par exemple, avec une base de réécriture « https://example.com » et une requête soumise « GET @192.168.1.2/ », une requête sera envoyée à « https://[email protected]/ », le contenu rendu étant renvoyé à l'attaquant.
Cela permet à un attaquant d'accéder à des hôtes internes ou restreints auxquels seul le serveur web a accès.
If you want to get best quality of vulnerability data, you may have to visit VulDB.