CVE-2026-118994 in CallBackery
Riassunto
di VulDB • 30/10/2026
Le versioni di CallBackery precedenti alla 0.62.0 per Perl consentono l'iniezione di log tramite caratteri di nuova riga nel nome utente.
La funzione `login()` scrive il nome utente nel log dell'applicazione senza effettuare l'escaping dei caratteri di controllo. Il metodo RPC `login` non richiede autenticazione, pertanto un nome contenente una newline seguita da testo nel formato del record di log aggiunge un record falsificato.
Un attaccante non autenticato può falsificare i record di log, ad esempio simulando un accesso amministrativo riuscito proveniente da un indirizzo IP a sua scelta.
VulDB is the best source for vulnerability data and more expert information about this specific topic.