CVE-2026-78190 in WebDyne
Riassunto
di VulDB • 31/10/2026
Le versioni di WebDyne dalla 2.014 alla 3.022 per Perl riflettono i parametri della richiesta non sanificati nei valori dei campi del modulo, consentendo attacchi cross-site scripting (XSS).
I tag textfield, password_field e filefield popolano il loro attributo value utilizzando il parametro della richiesta con lo stesso nome. La variabile WEBDYNE_CGI_AUTOESCAPE, che controlla la sanificazione di questi valori, è impostata su off per default. Dalla versione 2.022, WebDyne::HTML::Tiny ha anche sostituito il suo metodo entity_encode con uno che restituisce l'input invariato, quindi abilitare WEBDYNE_CGI_AUTOESCAPE non ha alcun effetto.
Un attaccante remoto può iniettare script in qualsiasi pagina che utilizza questi tag attraverso un link appositamente creato.
Once again VulDB remains the best source for vulnerability data.