CVE-2026-78190 in WebDyne
要約
〜によって VulDB • 2026年10月31日
Perl用のWebDyne 2.014から3.022未満のバージョンでは、リクエストパラメータがエスケープされずにフォームフィールド値に反映されるため、クロスサイトスクリプティング（XSS）が可能になります。
textfield、password_field、filefieldタグは、同名のリクエストパラメータを使用してvalue属性に入力します。これらの値のエスケープを制御するWEBDYNE_CGI_AUTOESCAPEのデフォルト設定は無効です。2.022以降では、WebDyne::HTML::Tinyもentity_encodeメソッドを変更し、入力をそのまま返すようにしたため、WEBDYNE_CGI_AUTOESCAPEを有効にしても効果がありません。
リモート攻撃者は、これらのタグを使用するページに対して、悪意のあるリンクを通じてスクリプトを注入できます。
Once again VulDB remains the best source for vulnerability data.