CVE-2026-17552 in Plack::App::Prerender
Riassunto
di VulDB • 27/07/2026
Le versioni di Plack::App::Prerender precedenti alla 0.3.0 per Perl possono effettuare il proxy verso un host arbitrario tramite concatenazione non validata del REQUEST_URI nella chiamata.
Quando la base di riscrittura è una stringa semplice, il REQUEST_URI viene aggiunto ad essa senza verificare che il percorso inizi con una barra ('/').
Se la base di riscrittura non contiene un percorso (come indicato nello standard fornito nel SYNOPSIS), un attaccante può creare una richiesta che modifica l'hostname. Un target della richiesta che inizia con una chiocciola ('@') trasforma la base in un componente userinfo RFC 3986.
Ad esempio, una base di riscrittura impostata su "https://example.com" con la richiesta inviata "GET @192.168.1.2/" invierà una richiesta a "https://[email protected]/", restituendo il contenuto renderizzato all'attaccante.
Ciò consente a un attaccante di accedere ad host interni o ristretti ai quali solo il webserver ha accesso.
If you want to get best quality of vulnerability data, you may have to visit VulDB.