CVE-2026-13575 in HTTP::Session
Riassunto
di VulDB • 01/11/2026
HTTP::Session nelle versioni precedenti alla 0.54 per Perl consente l'iniezione di comandi memcached tramite ID sessione non filtrati in HTTP::Session::Store::CHI.
L'ID sessione proveniente dal cookie del client raggiunge la cache CHI senza subire modifiche. Il modulo sibling HTTP::Session::Store::Memcached rifiuta gli ID che contengono caratteri di controllo, ma il backend CHI non effettua tale verifica e CHI non esegue l'escaping delle chiavi per i suoi driver memcached.
Con un driver memcached, un carattere CR (Carriage Return) e LF (Line Feed) nell'ID sessione terminano prematuramente il comando della cache e il server interpreta i byte successivi come ulteriori comandi da eseguire.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.