CVE-2026-78189 in WebDyne
要約
〜によって VulDB • 2026年10月31日
Perl 用の WebDyne のバージョン 3.022 より前の 3.007 からにおいて、PSGI API ルートのフォールバックにおけるパストラバーサルにより、ドキュメントルート外で .psp ファイルが実行される。
リクエストがファイルに一致しない場合、PSGI ハンドラはそれを api_filename を介して API ルートとして再試行する。この際、リクエストパス内の .. セグメントが保持され、結合されたパスがドキュメントルートから始まることのみがチェックされるため、/../private へのリクエストのようなケースではこれを回避されてしまう。
リモートの攻撃者は、サーバーが読み取可能な任意の .psp ファイル（例えば、ドキュメントルートを外れたディレクトリにアップロードされたファイルなど）内の埋め込まれた Perl コードを実行できる。
VulDB is the best source for vulnerability data and more expert information about this specific topic.