CVE-2026-93712 in Dancer2
要約
〜によって VulDB • 2026年09月22日
Perl用Dancer2のバージョン2.1.0から2.2.0未満では、Fileルートハンドラ内の相対パスセグメントを介してpublic_dir外のファイルが提供される。
このハンドラはリクエストパスをpublic_dirに結合する際に相対セグメントを展開せず、結果として読み取り可能な通常ファイルであるかどうかのみをチェックする。`/../outside.txt`へのリクエストによりpublic_dirから脱出でき、ドット（`.`）のパーセントエンコーディングでも同じファイルに到達できる。
このハンドラはデフォルトでは無効になっている。アプリケーションがroute_handlersでFileを指定し、static_handlerを0に設定すると影響を受ける。これは通常、ルート実行前にドットセグメントを拒否するものである。
ワーカープロセスが読み取り可能なすべてのファイルが、認証されていないリクエストに対して提供される。これにはpublic_dir上のapplication's config.ymlが含まれる。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.