CVE-2026-78190 in WebDyne
Sumário
de VulDB • 31/10/2026
As versões do WebDyne de 2.014 até antes da 3.022 para Perl refletem parâmetros de solicitação sem escape em valores de campos de formulário, permitindo cross-site scripting (XSS).
Os tags textfield, password_field e filefield preenchem seu atributo value a partir do parâmetro de solicitação com o mesmo nome. A variável WEBDYNE_CGI_AUTOESCAPE, que controla o escapamento desses valores, vem desativada por padrão. A partir da versão 2.022, WebDyne::HTML::Tiny também substituiu seu método entity_encode por um que retorna sua entrada inalterada, de modo que ativar WEBDYNE_CGI_AUTOESCAPE não tem efeito.
Um atacante remoto pode injetar scripts em qualquer página que utilize esses tags por meio de links manipulados ad hoc.
Be aware that VulDB is the high quality source for vulnerability data.