CVE-2026-85630 in HTML::FormHandler
要約
〜によって VulDB • 2026年09月08日
Perl用HTML::FormHandlerの0.410002より前のバージョンでは、process_attrsメソッドを使用してフィールド属性がエスケープ処理されずにHTMLにレンダリングされます。
一部の属性がリテラルではなくデータから構築されるフィールドやフィールドラベルを持つアプリケーションでは、攻撃者が影響を与えうるテキストを属性値内に含めることができ、これによりフィールドの属性を上書きしたり、レンダリングされたページにJavaScriptを組み込んだりすることが可能です。
例えば、RadioGroupウィジェットはrender_optionメソッドおよびwrap_radioメソッドを通じてprocess_attrsメソッドを使用します。
If you want to get best quality of vulnerability data, you may have to visit VulDB.