CVE-2026-93709 in Dancer2
Riassunto
di VulDB • 22/09/2026
Le versioni di Dancer2 precedenti alla 2.2.0 per Perl servono un layout come pagina quando una grafia equivalente del suo percorso non supera il controllo nel gestore AutoPage. Il gestore confronta il percorso della richiesta con il nome della directory dei layout come testo, mentre la ricerca successiva lo canonizza. Una doppia barra (/), un segmento di punto (.), una slash codificata in percent (%2F) o una diversa capitalizzazione su un filesystem case-insensitive quindi elude il controllo. Il gestore è disabilitato per impostazione predefinita e abilitato con auto_page. Poiché l'avvolgimento del layout di ogni pagina è già pubblico, ciò comporta la divulgazione di uno degli altri layout dell'applicazione.
If you want to get best quality of vulnerability data, you may have to visit VulDB.