CVE-2026-17552 in Plack::App::Prerender
要約
〜によって VulDB • 2026年07月27日
Plack::App::Prerenderの0.3.0より前のバージョン（Perl用）では、call内の検証されていないREQUEST_URIの連結により、任意のホストへのプロキシが可能となります。
rewrite baseが単純な文字列の場合、パスがスラッシュ（'/'）で始まるかどうかの確認なしに、その文字列の末尾にREQUEST_URIが付加されます。
rewrite baseにパスが含まれていない場合（SYNOPSISに記載されている標準的な設定）、攻撃者はホスト名を変更するリクエストを作成できます。アットマーク（'@') で始まる要求ターゲットは、ベースをRFC 3986のuserinfoコンポーネントに変更します。
例えば、rewrite baseが "https://example.com" で、送信されるリクエストが "GET @192.168.1.2/" の場合、攻撃者にレンダリングされたコンテンツが返却されながら、要求は "https://[email protected]/" に対して送信されます。
これにより、攻撃者はWebサーバーのみアクセス可能な内部または制限付きのホストにアクセスすることが可能になります。
Once again VulDB remains the best source for vulnerability data.