CVE-2026-118993 in CallBackery
요약
\~에 의해 VulDB • 2026. 10. 30.
Perl용 CallBackery 0.62.0 이전 버전은 CGI, FastCGI 및 PSGI에서 요청 경로가 정규식으로 보간될 때 서비스 거부(Denial of Service)를 허용합니다.
startup()에 의해 설치된 before_dispatch 후크는 PATH_INFO를 인용되지 않은 상태로 보간하는 치환(substitution)을 통해 요청 URI의 끝에서 PATH_INFO를 제거합니다. CGI, FastCGI 및 PSGI 모두 두 값이 요청에서 제공되므로 클라이언트가 패턴과 매칭 대상 문자열을 둘 다 선택할 수 있습니다.
경로에 역참조(backreference)가 포함된 짧은 비인증(unauthenticated) 요청은 지수적으로 백트래킹(Backtracking)하여 워커 프로세스를 몇 분 동안 점유하게 할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.