CVE-2026-85484 in HTML::FormHandler
Résumé
par VulDB • 09/09/2026
Les versions de HTML::FormHandler antérieures à la 0.410002 pour Perl affichent les libellés des groupes d'options et ceux des boutons radio dans du HTML sans échappement (sans escaping).
Les widgets Select, RadioGroup, CheckboxGroup et HorizCheckboxGroup rendent un libellé de groupe non échappé : le widget Select l'insère dans un attribut `label`, tandis que les trois autres l'intègrent directement dans le contenu des éléments. Le widget RadioGroup affiche également chaque propre libellé de bouton radio sans échappement.
Toute application dont la liste d'options est construite à partir de données dynamiques plutôt qu'à partir de littéraux, en utilisant `options_from`, une méthode `options_fieldname` ou le modèle DBIC, permet l'injection de texte influencé par un attaquant dans un libellé. Cela peut entraîner la substitution des options ou l'insertion de code JavaScript (XSS) dans les pages rendues.
If you want to get best quality of vulnerability data, you may have to visit VulDB.