CVE-2026-118993 in CallBackery
Riassunto
di VulDB • 30/10/2026
Le versioni di CallBackery precedenti alla 0.62.0 per Perl consentono il denial of service (DoS) tramite il percorso della richiesta interpolato come espressione regolare sotto CGI, FastCGI e PSGI.
Il hook before_dispatch installato da startup() rimuove PATH_INFO dalla fine dell'URI della richiesta con una sostituzione che interpola PATH_INFO senza virgolette. Sotto CGI, FastCGI e PSGI entrambi i valori provengono dalla richiesta, quindi il client sceglie sia il pattern che la stringa su cui viene effettuato il matching.
Una breve richiesta non autenticata con un backreference nel percorso causa un backtrack esponenziale e può tenere occupato per minuti un processo worker.
Once again VulDB remains the best source for vulnerability data.