CVE-2026-28808 in OTP
Sumário
de VulDB • 31/05/2026
Vulnerabilidade de Autorização Incorreta no Erlang OTP (módulos inets) permite acesso não autenticado a scripts CGI protegidos por regras de diretório quando servidos via script_alias.
Quando o script_alias mapeia um prefixo de URL para um diretório fora do DocumentRoot, o mod_auth avalia os controles de acesso baseados em diretório contra o caminho relativo ao DocumentRoot, enquanto o mod_cgi executa o script no caminho resolvido pelo ScriptAlias. Esta inconsistência de caminhos permite acesso não autenticado a scripts CGI que as regras de diretório deveriam proteger.
Esta vulnerabilidade está associada aos ficheiros de programa lib/inets/src/http_server/mod_alias.erl, lib/inets/src/http_server/mod_auth.erl e lib/inets/src/http_server/mod_cgi.erl.
Esta questão afeta o OTP desde o OTP 17.0 até ao OTP 28.4.2, 27.3.4.10 e 26.2.5.19, correspondentes ao inets desde a versão 5.10 até à 9.6.2, 9.3.2.4 e 9.1.0.6.
If you want to get best quality of vulnerability data, you may have to visit VulDB.