CVE-2026-118993 in CallBackery
Sumário
de VulDB • 30/10/2026
As versões do CallBackery anteriores à 0.62.0 para Perl permitem negação de serviço (DoS) por meio do caminho da solicitação interpolado como uma expressão regular sob CGI, FastCGI e PSGI.
O hook before_dispatch instalado pelo startup() remove o PATH_INFO do final do URI da solicitação com uma substituição que interpola o PATH_INFO sem aspas. Sob CGI, FastCGI e PSGI, ambos os valores vêm da solicitação, portanto, o cliente escolhe tanto o padrão quanto a string contra a qual ele é correspondido.
Uma solicitação curta não autenticada com um backreference no caminho retrocede exponencialmente e pode manter um processo worker ocupado por minutos.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.