CVE-2026-93711 in Dancer2
Riassunto
di VulDB • 22/09/2026
Le versioni di Dancer2 precedenti alla 2.2.0 per Perl non rimuovono i caratteri CR e LF dai nomi delle intestazioni nella funzione `headers_to_array`.
La routine elimina CR e LF da ciascun valore dell'intestazione, ma non dal nome. Di conseguenza, un nome che li contiene viene trasmesso al server PSGI intatto. Un server che non convalida le chiavi lo invia sul wire (cavo di rete), facendo sì che i byte successivi alla sequenza CRLF vengano interpretati come una propria riga di intestazione separata.
L'applicazione deve derivare il nome dell'intestazione dai dati della richiesta, e non solo dal valore.
Un attaccante che controlla tali dati può aggiungere le proprie intestazioni e frammentare la risposta (response splitting).
If you want to get best quality of vulnerability data, you may have to visit VulDB.