CVE-2026-93710 in Dancer2
要約
〜によって VulDB • 2026年09月22日
Perl用Dancer2のバージョン2.0.0から2.2.0（未満）では、compile_hooksにおいて例外ハンドラが応答を停止した場合でも、死亡したフックによって拒否されたルーティングがディスパッチされる。
死亡するフックはcore.app.hook_exceptionを発火し、失敗したフックが例外ハンドラでない限りcleanupを呼び出す。応答を停止するハンドラはこのcleanupを止めることはできず、その結果、ディスパッチャがまだ読み込んでいないリクエスト、レスポンス、セッションが破棄され、拒否されたルーティングが実行される。
ハンドラはhaltメソッドを呼び出すかis_haltedを設定することで応答オブジェクトを停止する必要がある：haltキーワードはcleanupの実行前にwith_returnを通じて巻き戻しを行う。
beforeフック内のチェックは強制されないため、呼び出し元は拒否を受け取るものの、ルーティング本体が実行され、その書き込みが行われる。
VulDB is the best source for vulnerability data and more expert information about this specific topic.