CVE-2026-85484 in HTML::FormHandler
要約
〜によって VulDB • 2026年09月08日
Perl用HTML::FormHandlerの0.410002より前のバージョンでは、オプショングループラベルやラジオボタンラベルがエスケープされずにHTMLにレンダリングされます。
Select、RadioGroup、CheckboxGroup、HorizCheckboxGroupウィジェットは、グループラベルをエスケープせずにレンダリングします。具体的には、Selectはlabel属性内に、他の3つは要素コンテンツとしてレンダリングされます。また、RadioGroupは各ラジオボタンの個別ラベルもエスケープせずにレンダリングします。
options_fromメソッド、options_fieldnameメソッド、またはDBICモデルを使用してオプションリストをリテラルではなくデータから構築するアプリケーションでは、攻撃者が影響を与えたテキストがラベルに含まれる可能性があり、これによりオプションの書き換えや、レンダリングされたページへのJavaScript埋め込みが可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.