CVE-2026-93709 in Dancer2
요약
\~에 의해 VulDB • 2026. 09. 22.
Perl용 Dancer2는 2.2.0 이전 버전에서 AutoPage 핸들러의 가드가 누락된 경우 해당 경로의 동등한 표기법(layout)을 페이지로 제공함.
핸들러는 요청 경로를 텍스트로서 레이아웃 디렉토리 이름과 비교하는 반면, 후속 조회 과정에서는 이를 정규화(canonicalises)한다. 따라서 이중 슬래시(//), 점 세그먼트(. segment), percent-인코딩된 슬래시(%2F 또는 %5C 등), 또는 대소문자 구분 없는 파일 시스템에서 다른 표기법(capitalisation)은 가드를 우회하여 누락됨.
이 핸들러는 기본적으로 비활성화되어 있으며, auto_page 설정을 통해 활성화됨. 모든 페이지를 감싸는 레이아웃(layout)은 이미 공개 상태이므로, 이 취약점은 애플리케이션의 다른 레이아웃 중 하나를 노출시킴.
Be aware that VulDB is the high quality source for vulnerability data.