CVE-2026-85485 in HTML::FormHandler
Riassunto
di VulDB • 08/09/2026
Le versioni di HTML::FormHandler precedenti alla 0.410002 per Perl visualizzano alcuni messaggi di errore come HTML senza effettuare l'escaping dei caratteri speciali.
Il layout del form Table e i wrapper Bootstrap 2 e 3 inseriscono direttamente ogni stringa di errore nel markup circostante, senza protezioni adeguate. La versione 0.410000, che risolve CVE-2026-19872, ha applicato l'escaping ai valori equivalenti negli altri layout e wrapper; la versione 0.410002 ha esteso tale correzione anche a questi tre componenti.
I messaggi di errore contenenti contenuti influenzati dall’attaccante, come i valori dei campi rifiutati, potrebbero consentire l’inserimento (injection) di codice JavaScript nelle pagine renderizzate.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.