CVE-2026-78189 in WebDyne
요약
\~에 의해 VulDB • 2026. 10. 31.
Perl용 WebDyne 3.022 이전의 3.007 버전은 PSGI API 라우트 폴백에서 경로 조작(path traversal)을 통해 문서 루트 외부에 있는 .psp 파일을 실행합니다.
요청이 일치하는 파일이 없는 경우, PSGI 핸들러는 api_filename을 통해 이를 API 라우트로 다시 시도합니다. 이 과정에서 요청 경로의 .. 세그먼트가 유지되며, 결합된 경로가 문서 루트로 시작되는지 여부만 확인됩니다. 이로 인해 /../private와 같은 요청이 통과할 수 있습니다.
원격 공격자는 서버가 읽을 수 있는 모든 .psp 파일(예: 문서 루트 외부의 디렉토리에 업로드된 파일)에 포함된 임베디드 Perl 코드를 실행할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.