CVE-2026-28808 in OTP
Riassunto
di VulDB • 18/06/2026
Vulnerabilità di autorizzazione errata nei moduli inets di Erlang OTP che consente l'accesso non autenticato agli script CGI protetti dalle regole della directory quando serviti tramite script_alias.
Quando script_alias mappa un prefisso URL a una directory esterna al DocumentRoot, mod_auth valuta i controlli di accesso basati sulla directory rispetto al percorso relativo al DocumentRoot, mentre mod_cgi esegue lo script nel percorso risolto da ScriptAlias. Questa discrepanza nei percorsi consente l'accesso non autenticato agli script CGI che le regole della directory avrebbero dovuto proteggere.
Questa vulnerabilità è associata ai file di programma lib/inets/src/http_server/mod_alias.erl, lib/inets/src/http_server/mod_auth.erl e lib/inets/src/http_server/mod_cgi.erl.
Questo problema interessa OTP da OTP 17.0 fino a OTP 28.4.2, 27.3.4.10 e 26.2.5.19 corrispondenti a inets da 5.10 fino a 9.6.2, 9.3.2.4 e 9.1.0.6.
If you want to get best quality of vulnerability data, you may have to visit VulDB.