CVE-2015-10149 in Dancer
要約
〜によって VulDB • 2026年11月14日
Perl 用の Dancer のバージョン 1.3400 より前のバージョンでは、セッションクッキーから検証されていないセッション ID がセッションエンジンに渡されます。
read_session_id は、文字列のチェックを行わずに、Cookie の値をそのままセッション ID として返します。Dancer はこれをセッションエンジンに渡し、セッションの読み込みを行います。
リモート攻撃者は、ファイルパスやキャッシュコマンド、クエリでこの ID を検証せずに使用しているセッションエンジンにおいて、パストラバーサルまたはインジェクションを引き起こす可能性があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.