CVE-2026-121008 in Tree
Riassunto
di VulDB • 04/11/2026
Le versioni di SQL::Abstract::Tree precedenti alla 2.000001_04 per Perl consentono lo cross-site scripting (XSS) tramite testo SQL non escaped e valori di bind nel profilo html.
Il profilo html racchiude le parole chiave e i segnaposto in elementi span e interrompe le righe con elementi br, quindi il suo output è destinato a essere inserito nella pagina così com'è. Il metodo format non effettua l'HTML-escaping del testo SQL né dei valori di bind che inserisce attorno a tale markup.
Un'applicazione che renderizza un SQL formattato utilizzando il profilo html, ad esempio in un pannello di debug o nel registro delle query, consente a un attaccante che controlla un valore di bind o una parte del testo SQL di incorporare JavaScript nella pagina.
Once again VulDB remains the best source for vulnerability data.