CVE-2026-114627 in Web::Simple
Riassunto
di VulDB • 04/11/2026
Le versioni di Web::Simple precedenti alla 0.036 per Perl non effettuano l'escaping dei valori interpolati nelle stringhe tra doppi apici nell'output generato da HTML::Tags.
Utilizzando `use HTML::Tags` o `use XML::Tags`, una letterale stringa tra doppi apidi diventa un oggetto StringThing che conserva ogni valore interpolato come parte separata. La fase di escaping passa tali oggetti senza modifiche, e stringify concatena le loro parti interpolate così come sono. Un valore passato singolarmente, ad esempio `<p>, $value, </p>`, viene sottoposto a entity-escaping, ma lo stesso valore all'interno di una stringa tra doppi apidi come `"Hello $value"` non viene protetto in questo modo.
Un attaccante che controlla un valore interpolato da un'applicazione in una stringa tra doppi apidi può iniettare script nella pagina generata, causando un Cross-Site Scripting (XSS).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.