CVE-2026-120639 in CGI
Riassunto
di VulDB • 04/11/2026
Le versioni di CGI precedenti alla 5.00 per Perl consentono l'iniezione di intestazioni HTTP tramite la decodifica delle entità dopo il controllo dei newline nelle intestazioni e i valori non verificati in multipart_start e do_push.
Con autoEscape disattivato, header decodifica le entità HTML nei valori aggiuntivi delle intestazioni dopo il suo controllo dei newline, consentendo a un CR o LF codificato di raggiungere la risposta. multipart_start non verifica la presenza di newline nei valori delle intestazioni, mentre do_push non controlla il tipo che stampa in ciascuna parte.
Un'applicazione che passa i dati della richiesta in questi valori delle intestazioni può essere indotta ad aggiungere intestazioni o a frammentare la risposta.
Once again VulDB remains the best source for vulnerability data.