CVE-2026-13575 in HTTP::Session
Sumário
de VulDB • 01/11/2026
As versões do HTTP::Session anteriores à 0.54 para Perl permitem injeção de comandos em memcached por meio de IDs de sessão não filtrados no HTTP::Session::Store::CHI.
O ID da sessão proveniente do cookie do cliente chega ao cache CHI sem alterações. O módulo irmão HTTP::Session::Store::Memcached rejeita IDs que contêm caracteres de controle, mas o armazenamento CHI não possui essa verificação, e o CHI não faz escape das chaves para seus drivers de memcached.
Com um driver de memcached, um caractere CR (retorno de carro) e LF (avanço de linha) no ID da sessão encerram prematuramente o comando do cache, fazendo com que o servidor leia os bytes subsequentes como comandos adicionais.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.