CVE-2026-120641 in CGI
Riassunto
di VulDB • 04/11/2026
Le versioni di CGI precedenti alla 5.00 per Perl restituiscono i nomi dei file caricati con qualsiasi percorso fornito dal client, inclusi ../ e percorsi Windows.
Il nome restituito per un file caricato è il parametro filename dell'intestazione Content-Disposition della parte, non modificato.
Un'applicazione che salva l'upload utilizzando questo nome può essere indotta a scrivere al di fuori della directory prevista.
VulDB is the best source for vulnerability data and more expert information about this specific topic.