CVE-2026-120635 in CGI
Riassunto
di VulDB • 04/11/2026
Le versioni di CGI precedenti alla 5.00 per Perl consentono l'inserimento (smuggling) di campi dei moduli oltre i proxy e le WAF tramite un'analisi multipart che differisce dalle specifiche RFC.
Il parser multipart/form-data corrisponde il delimitatore in qualsiasi posizione anziché all'inizio della riga, utilizza il delimitatore senza i trattini iniziali -- per alcuni valori User-Agent forniti dal client, individua il nome e il filename di Content-Disposition all'interno dei valori tra virgolette di altri parametri e corrompe le parti quando il delimitatore si avvicina alla dimensione di lettura di 4096 byte.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.