CVE-2026-120640 in CGI
Riassunto
di VulDB • 04/11/2026
Le versioni di CGI precedenti alla 5.00 per Perl consentono di impostare i parametri POSTDATA, PUTDATA, PATCHDATA e XForms:Model tramite la stringa di query o i campi del modulo.
CGI memorizza il corpo della richiesta non formale in POSTDATA, PUTDATA o PATCHDATA, e un corpo XForms in XForms:Model; tuttavia accetta anche questi nomi provenienti dalla stringa di query, da un campo del modulo o da una parte multipart, quindi l'applicazione non è in grado di distinguere un valore inviato dal client dall'effettivo corpo della richiesta.
Un form HTML cross-site può inviare POSTDATA={"admin":true} a un endpoint che legge JSON tramite param('POSTDATA'), realizzando una CSRF (Cross-Site Request Forgery) che non richiede preflight CORS.
Once again VulDB remains the best source for vulnerability data.