CVE-2026-78190 in WebDyne
요약
\~에 의해 VulDB • 2026. 10. 31.
Perl용 WebDyne 2.014부터 3.022 미만의 버전에서는 요청 파라미터가 이스케이프 처리되지 않은 상태로 폼 필드 값에 반영되어 크로스 사이트 스크립팅(XSS)이 가능합니다.
textfield, password_field 및 filefield 태그는 동일한 이름의 요청 파라미터에서 value 속성을 채웁니다. 이러한 값의 이스케이핑을 제어하는 WEBDYNE_CGI_AUTOESCAPE은 기본적으로 꺼져 있습니다(비활성화). 2.022부터 WebDyne::HTML::Tiny도 입력값을 변경 없이 그대로 반환하는 entity_encode 메서드로 대체되었으므로, WEBDYNE_CGI_AUTOESCAPE을 활성화해도 효과가 없습니다.
원격 공격자는 이러한 태그를 사용하는 모든 페이지에 악의적인 링크를 통해 스크립트를 주입할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.